¿Qué es AOPP y cómo afecta a los usuarios de wallets de Bitcoin?

AOPP (siglas en inglés de «protocolo de prueba de propiedad de direcciones») es un algoritmo que permite validar la posesión de una dirección de Bitcoin o Ethereum. La existencia de este tipo de herramienta se debe a las recomendaciones del GAFI (Grupo de Acción Financiera Internacional) en materia de lucha contra el lavado de dinero y financiamiento al terrorismo. Dicha organización aconseja a los países miembros exigir que cada exchange de criptomonedas valide qué dirección le pertenece a cada usuario.

El uso de AOPP por parte de algunas wallets ha generado controversia sobre si este protocolo es o no una violación a la privacidad de los usuarios de Bitcoin. Sin embargo, la violación tiene su origen, no tanto en el uso de AOPP, como en las regulaciones gubernamentales y las recomendaciones del GAFI. El protocolo, según sus creadores, es solo una «mejora en la experiencia de usuario».

Qué es AOPP y cómo funciona

AOPP es un protocolo de validación de direcciones Bitcoin y Ethereum. Su funcionamiento se basa en firmar un mensaje cifrado desde la wallet que no conlleva ningún tipo de coste. El mensaje es un identificador que le sirve al exchange para confirmar el proceso de validación y se firma con la llave privada de la dirección a validar. La verificación solo se realiza una única vez para cada dirección que el usuario necesite verificar.

El desarrollo de AOPP estuvo dirigido por la empresa 21 Analytics, en colaboración con Shift Crypto (esta última es la compañía desarrolladora de la wallet BitBox2).

AOPP se aplica al momento de interactuar con un VASP (proveedor de servicios de activos virtuales, por sus siglas en inglés), cuya definición engloba a exchanges y plataformas de bitcoin y criptomonedas.

Sobre si es obligatorio su uso, este solo se aplica bajo estricta exigencia del VASP. Si una wallet lo incluye en su software, no significa que exista algún tipo de verificación de identificación o rastreo de todas las transacciones.

El protocolo busca «mejorar la experiencia de usuario» —tal como se explica en su portal web— dentro de los VASP que han empezado a aplicar las recomendaciones de la GAFI. Por el momento, solo Suiza y Países Bajos solicitan la verificación de propiedad de forma obligatoria.

Antes de AOPP, este proceso se realizaba a través de lo que se conoce como «Prueba de Satoshi» que se basa en enviar una cantidad exacta de bitcoins a la dirección. Otra de las alternativas exige enviar una captura de pantalla desde el monedero que integra esta dirección Bitcoin.

En el nuevo protocolo, vale aclarar que es el exchange de criptomonedas (no AOPP) la que se encarga de enlazar la información de un usuario con su wallet. A este usuario, la plataforma le solicita una verificación de identidad (KYC-AML).

Sobre el proceso de verificación, según muestra el video explicativo de AOPP, el VASP generará un QR que podrá ser escaneado desde cualquier wallet compatible con el protocolo. En la wallet se mostrará el mensaje a cifrar, el cual consistirá de cualquier tipo de información definida por el VASP. Posteriormente, el usuario solo deberá «firmar» el mensaje, e inmediatamente se verá reflejado sobre en el portal web del VASP la dirección verificada.

Según expresa el propio portal web, la comunicación solo se realiza entre el exchange y la wallet del usuario, sirviendo AOPP solo como un intermediario.

AOPP y la violación de privacidad

La web de AOPP explica que es una «solución simple y automatizada para proporcionar la prueba de pertenencia». Si nos quedamos solo con esa definición, AOPP podría considerarse como inofensiva pues, por sí sola, no compromete la privacidad del usuario.

A pesar de ser una herramienta opcional, la privacidad de los monederos de Bitcoin está en juego. La prueba de participación o verificación de tenencia de una dirección Bitcoin se realiza sobre una única dirección. Las wallets de Bitcoin conocidas como HD («jerárquico-determinísticas», por sus siglas en inglés) se generan a partir de una semilla de recuperación y brindan la posibilidad de usar múltiples direcciones en una misma wallet.

Sin embargo, basta con que una sola dirección posea prueba de tenencia y que se vea ligada la información de un usuario con una dirección en Bitcoin, para que todas las direcciones del monedero puedan verse comprometidas.

Una transacción de Bitcoin puede contener múltiples entradas y múltiples salidas. En una wallet HD, la aplicación o software se encarga de armar una transacción, utilizando los UTXO de las diferentes direcciones dentro de la wallet. En la imagen anterior, para enviar un total de 0,05 BTC se utilizaron fondos de 3 direcciones diferentes. Cada dirección no está relacionada con las otras, hasta que son fusionadas en una transacción. Mientras tanto, pueden existir sin que —a nivel de red— se sepa de que pertenecen a una misma wallet.

A causa de este funcionamiento del protocolo Bitcoin, si una de las entradas utilizadas ha pasado por un proceso AOPP, el resto queda comprometido. Empresas de análisis de blockchain, como Chainalysis, quienes han desarrollado herramientas para plataformas VASP, pueden rastrear fácilmente la cantidad de direcciones que posee un usuario. Lo logran con solo verificar la tenencia de una única transacción.

Sobre todo esto, el portal web de AOPP argumenta, aunque lo dice con palabras edulcoradas, que la adopción masiva de bitcoin requiere dejar atrás la privacidad, en favor de ir a la par con las exigencias de las regulaciones internacionales.

¿Dar o no dar soporte a AOPP? Esa es la cuestión para las wallets

Luego del lanzamiento de esta herramienta, varias wallets incluyeron en su software el protocolo de AOPP, el cual, como ya se describió, es de uso «opcional». Se limita su uso a algún usuario que necesite interactuar con un exchange que cumpla con las mencionadas regulaciones.

A pesar ser una herramienta de uso opcional, luego de conocerse la inclusión de AOPP en varias wallets, una parte importante de la comunidad bitcoiner manifestó que la decisión iba en contra de los preceptos de Bitcoin. Incluso comentaron que buscarían cambiar de wallets, lo que se vio en varios tuis en respuesta al anuncio de Trezor.

Además de Trezor, monederos como BlueWallet, también incluyeron AOPP en su software. Días después de haberlo anunciado, se retractaron e informaron que retirarían el protocolo de sus wallets, no antes de declarar que el uso de AOPP es para cumplir con las regulaciones del GAFI: «si no te gusta el GAFI, tienes que quejarte con tus políticos».

BitBox02, otra de la wallets que se vio envuelta en la polémica, no ha dado aún declaraciones al respecto sobre si retiraría o no el protocolo de su software. Sin embargo, cabe recordar, que Shift Crypto, empresa detrás de BitBox02, colaboró con 21 Analytics para el desarrollo de AOPP.

Para AOPP, el retiro de su protocolo de las diferentes wallets se debió a «presión social» y también por «temor a la cultura de la cancelación», considerando su uso no conlleva ningún tipo de fallas en la privacidad.

AOPP al servicio de las regulaciones

AOPP no es una regulación, sino una herramienta que facilita el cumplimiento de regulaciones. El uso del protocolo es opcional, pero se convierte en obligatorio para usuarios de exchanges en jurisdicciones que les exijan realizar la verificación de tenencia de direcciones de criptomonedas.

El uso de AOPP no es exigencia directa de los VASP. De no existir este protocolo, se realizarían verificaciones manuales, como lo es la prueba de Satoshi.

Para Chainlysis, el uso de las wallets de autocustodia puede resultar un problema, debido a que los exchanges y plataformas de criptomonedas deben verificar la identidad detrás de cada dirección. Es por ello que se hace la recomendación del uso de AOPP. Sin embargo, de imposibilitarse esta tarea de verificación, la firma de análisis plantea un posible escenario en que los VASP podrían incluso prohibir el uso de direcciones provenientes de este tipo de wallets.

En qué países se utiliza AOPP

Por ahora, solo dos países han aplicado la llamada «regla de viaje» que requiere el uso de AOPP: Suiza y Paises Bajos. Si bien por ahora son los únicos que están demandando el uso de este protocolo, la página web de 21 Analytics, destaca un listado de 13 países que están en proceso o ya han implementado esta regulación. En este listado se incluye también la zona de la Unión Europea, por lo que podría afectar a usuarios residentes en España.

Con o sin AOPP, los reguladores rastrean las transacciones

AOPP no es quien resta privacidad a los usuarios, solo es el medio utilizado para tal fin. Según señala su propio portal web, la verificación de identidad que se realiza a través de AOPP es con información que el exchange ya posee. La falla de privacidad comienza en el momento en que el usuario verifica su identidad en la plataforma, no al usar AOPP.

Empresas como Elliptic o Chainalysis, hacen seguimiento de información de los usuarios sin la necesidad de que estos pasen por estos procesos de verificación de tenencia de dirección. Con solo ligar la identidad de un usuario desde un exchange hasta una dirección de retiro, es posible realizar un rastreo de los fondos.

Sin embargo, mezcladores de Bitcoin pueden presentarse como una «piedra en el zapato» para este tipo de empresas, ya que limitan su campo de rastreo de transacciones. Es por ello que se han planteado escenarios en que se prohíba el uso de monederos autocustodia.

El futuro de AOPP por ahora es incierto. No obstante, las regulaciones siguen avanzando y cada vez más países exigen verificar propiedad de una dirección. Esto, quizás, se pueda traducir en una adopción masiva del protocolo AOPP con un uso opcional, para diferentes wallets.