US$12 millones fueron hurtados de Chivo Wallet en El Salvador

Unos Q93 millones de los impuestos de los salvadoreños fueron hurtados debido al fallo del sistema de “Conoce a Tu Cliente” en el software gubernamental, como reveló en un juicio en Estados Unidos Shaun Overton, dueño de la empresa Roi Developers, contratada para reparar problemas en el software. En su testimonio, el empresario también narró la existencia de un error informático que puso en riesgo US$10,000 millones (Q78,000 millones) de las arcas del Estado salvadoreño. La pérdida por esta última situación fue de un cuarto de millón de dólares

Al menos 400,000 cuentas creadas en las primeras semanas de Chivo Wallet, la billetera electrónica gubernamental de bitcoin y dólares de El Salvador, fueron fraudulentas, pues no pertenecían a la persona bajo cuyo número de identidad fueron abiertas. Eso se traduce en que US$12 millones (Q 93.68 millones) se hurtaron de las arcas del Estado, debido a que una de las iniciativas impulsadas por el gobierno de El Salvador fue la entrega de un bono de bienvenida de US$30 en bitcoin a cada ciudadano salvadoreño que se daba de alta en el sistema.

Eso es lo que reveló el estadounidense Shaun Overton, el dueño de Roi Developers (conocida también como Accruvia), una de las empresas contratadas por el gobierno del país centroamericano para reparar las múltiples fallas que presentó la plataforma en sus primeros días de lanzamiento, entre septiembre y octubre de 2021. Sus declaraciones forman parte del testimonio que brindó ante la Corte del Distrito Norte de Texas, en Fort Worth, como parte del juicio de la demanda por incumplimiento de contrato presentada por la empresa de Overton contra Athena Bitcoin, la compañía que desarrolló la billetera salvadoreña. El proceso, que sigue activo, se  debe al cobro de $83,698.91 que, según el demandante, Athena Bitcoin nunca pagó por servicios relacionados con la Chivo Wallet. Overton dice que su trabajo en el software se dio en dos momentos distintos: uno contratado directamente por el gobierno de El Salvador, que fueron dos semanas a mediados de septiembre de 2021; la otra, por Athena Bitcoin, desde septiembre a noviembre de ese año.

No-Ficción contactó con Shaun Overton a su teléfono personal para conocer un poco más de lo vertido en sus declaraciones ante la Corte estadounidense. Sin embargo, aseguró que no estaba autorizado para hablar con un medio.

Según el testimonio de Overton, la falla se generó cuando el proveedor del sistema de Know Your Client (Conoce a tu cliente) se bloqueó después de que se registraron en la wallet los primeros 150 usuarios. Los responsables de Chivo no dieron de baja al sistema para reparar el error. Decidieron que la billetera debía seguir en línea para que nuevos usuarios pudieran inscribirse, por lo que optaron por eliminar del todo el proceso de Know Your Client.

“No había, literalmente, ninguna supervisión. Cualquiera en la plataforma podía inscribirse y obtener US$30”, dijo Overton en su declaración. En efecto, el Know Your Client es el proceso que hacen todas las entidades financieras para verificar la identidad de sus clientes en cumplimiento de exigencias legales. Así se certifica que el que hace las transacciones es quien dice ser y no otro, por lo que conforma una de las primeras y más importantes defensas contra el lavado de dinero y el financiamiento al terrorismo. Es, según el costarricense Ever Navarro, especialista en la prevención de estos delitos, la piedra angular del proceso de gestión de riesgo.

Según la declaración de Overton, mientras trabajaba en la billetera, como contraparte en el gobierno de El Salvador se entendió con el venezolano Miguel Sabal, quien se presentaba como asesor del presidente Nayib Bukele, con acceso directo al mandatario. La otra persona desde la que llegaban las órdenes era otra venezolana, Sarah Hanna, aunque con menos frecuencia. Sabal y Hanna forman parte de una especie de gabinete de gobierno paralelo, por encima de los ministros oficiales, cuya existencia fue revelada por un reportaje del periódico digital El Faro.

En su relato ante las autoridades estadounidenses, Overton cuenta que, a mediados de septiembre de 2021, el asesor venezolano Miguel Sabal entró a su oficina para advertirle de la urgencia de reparar el problema, es decir, reconectar la billetera con el proveedor de Know Your Client, del que habían decidido prescindir días atrás para no tener que interrumpir el proceso de creación de nuevas cuentas.

Actualmente, el sistema de verificación de la identidad de una persona en Chivo no es muy diferente al de los de banca en línea de instituciones tradicionales o el de Facebook para verificación de los usuarios: se solicita una fotografía del documento de identidad y se piden varias imágenes de la persona, tomadas de frente y por ambos perfiles. Con estos insumos se certifica la identidad del usuario. Mientras el proceso de Know Your Client estuvo desconectado durante los primeros días de implementación de Chivo Wallet, los usuarios subían las fotografías requeridas, pero nadie las revisaba.

Miguel Sabal, según Overton, le dijo que, debido a esta ausencia, había muchas personas que estaban creando sus cuentas con fotografías que, más bien, eran de “una pared” o de “plantas en macetas”. Así, muchos pudieron cobrar el bono de US$30 que le correspondía a otros ciudadanos con solo tener a la mano el nombre completo y el número del Documento Único de Identidad (DUI). En pocas palabras, se trataba de una usurpación de identidad masiva: una cascada de fraudes.

“Y en la evaluación final… no… nunca precisamos la cantidad exacta del fraude, pero estimamos que entre el 10% y el 20% de todos los usuarios registrados eran fraudulentos. Y la gran mayoría de ese dinero había salido del ecosistema de Chivo Wallet”, comentó Overton en su testimonio.

El empresario asegura que el número de usuarios de Chivo cuando dejó el proyecto superaba los 4 millones. Por eso, esta última frase se traduce en un gran problema para las arcas del Estado salvadoreño: el hurto, según los cálculos de Overton, fue de entre US$12 millones o US$24 millones (Q93.68 millones y Q187.37 millones) y la mayor parte de ese dinero salió de la billetera, por lo que el Gobierno de El Salvador ya no está en la capacidad de recuperar esos fondos.

La declaración de Overton coincide con múltiples denuncias en redes sociales, donde ciudadanos salvadoreños afirmaron que su identidad había sido robada para abrir cuentas en Chivo Wallet: cuando introdujeron su número del Documento Único de Identidad (DUI) para registrarse, se enteraron de que ya existía una cuenta abierta con este. La problemática también fue documentada por la ONG Cristosal, que a finales de 2021 recibió el testimonio de 1,139 personas. Esta organización presentó un aviso ante la Fiscalía General de El Salvador con respecto a 131 casos.

Para Ruth López, jefa jurídica Anticorrupción y Justicia de Cristosal, que el Gobierno de El Salvador propiciara no comprobar debidamente la identidad de las personas demuestra que el fin principal de las autoridades era mantener la imagen exitosa de su apuesta por el bitcoin, sin importar el impacto en la economía del país.

“La burbuja mediática nos cuesta mucho a todos… Los funcionarios responsables de esta defraudación tendrían que pagar cada centavo de su bolsillo”, opina López.

Para este reportaje, No-Ficción buscó la versión del asesor venezolano Miguel Sabal sobre las declaraciones de Overton. La gestión se hizo por el mecanismo oficial impuesto por el gobierno de Nayib Bukele para que un medio pueda hablar con alguno de sus funcionarios: realizar una solicitud formal a través del Secretario de Prensa de la Presidencia, Ernesto Sanabria. Se escribió un mensaje de texto el viernes 25 de noviembre para cumplir con este requisito. Cuando se le telefoneó, el lunes 28, Sanabria respondió que Sabal no es asesor de Bukele y que ni siquiera lo conoce.

La crisis silenciosa de los US$10,000 millones

El fraude de usuarios registrados no fue el único error visto por Overton mientras trabajó en la billetera, que se tradujo en pérdidas para las arcas salvadoreñas. Cuando inició sus operaciones, según el representante de Roi Developers, Chivo Wallet presentaba el valor de bitcoin con respecto al dólar con un retraso de un minuto. Es decir, Chivo Wallet congelaba el valor de todas las operaciones durante un minuto. En el mercado real, el precio de esta criptomoneda varía varias veces en 60 segundos. Este minuto con el que paralizaba el tiempo el gobierno de El Salvador daba la oportunidad de consultar el precio real en otros exchanges y, así, decidir si comprar o vender con la certidumbre de que se iba a ganar con la transacción. Los salvadoreños podían predecir momentáneamente el futuro y, sobre todo, su valor.

Esta variación de precio, de caída y subida, en el mundo Cripto, se le conoce como “arbitraje”. Se le puede definir como la posibilidad de conocer el precio real de un activo, pero estar en la capacidad de comprar o vender a un precio falso. En un activo tan volátil como el bitcoin, puede dar enormes ventajas a un usuario.

En su testimonio, Overton describe el caso de una persona que inició con solo US$2,000 (Q15,613.75) y, mediante esta ventaja, había logrado amasar US$400,000 (Q3.12 millones). No era el único. El empresario describió como “hemorragia de dinero” a lo que estaba sucediendo.

Los dichos de Overton se corresponden con la decisión de Chivo Wallet al inhabilitar el congelamiento del precio, algo que fue anunciado el 18 de octubre de 2021 en la cuenta de Twitter oficial de la empresa, que calificó al arbitraje como un fraude.

Hemos tenido que deshabilitar temporalmente la opción de ver el precio del Bitcoin congelado durante un minuto.

Lamentablemente, muchos de nuestros usuarios lo utilizaban para hacer “scalping”, que es legal, pero sin tener la opción de una tasa congelada.

🧵 Hilo:

— chivo (@chivowallet) October 18, 2021

La empresa encontró una solución al deshabilitar la opción de “ver” el valor en dólares del bitcoin dentro de la aplicación mientras reparaba el problema.

Según el testimonio ante la Corte de Texas, nuevamente fue el venezolano Miguel Sabal quien llegó a la oficina de Overton para decirle que necesitaban corregir el problema ese mismo día, esa misma noche. A Overton, como dice en su relato, la idea le pareció muy mala, pues no les iba a dar tiempo de hacer un proceso conocido como “quality assurance” (garantía de calidad), básico en cualquier desarrollo de software. El estadounidense asegura que le advirtió de ello a Miguel Sabal, pero este presionó para obtener resultados ese mismo día.

Por eso, según Overton, el estadounidense Eric Gravengaard, CEO de Athena Bitcoin, la empresa a la que demanda por impago y que desarrolló Chivo Wallet, decidió encargar la responsabilidad de reparar este problema a un programador novato para que trabajara directamente en el código que controlaba el cambio de precio. De hecho era el primer día en el empleo del novato desarrollador y solo duró tres semanas trabajando en la compañía.

Según tres tecnólogos consultados para este trabajo, lo normal es que este problema se pudo haber reparado en un entorno de prueba, separado del software principal, con el fin de testear soluciones sin que se pusiera en riesgo la operatividad. Pero no se hizo así, según Overton.

Eso se tradujo en un nuevo error que fue visto por todos los usuarios de Chivo Wallet la noche de ese 18 de octubre de 2021. El programador, que no tenía mucha experiencia en el campo, escribió un código que provocó que el cambio entre dólar y bitcoin dentro de la billetera fuera de 1 a 1. Por esos días, el precio de bitcoin era de más de US$60,000 (Q468,412.50) en el mercado.

El periódico salvadoreño El Diario de Hoy publicó una nota que recogía capturas de pantalla de usuarios que, de un momento a otro, se percataban que se habían convertido en millonarios gracias a las negligencias de la empresa desarrolladora. En esos días, la noticia pasó inadvertida, pues se creyó que se trataba de un simple error a la hora de mostrar el balance. Sin embargo, la realidad es que los usuarios tuvieron a su disposición ese dinero en sus cuentas de Chivo Wallet.

Shaun Overton asegura que Miguel Sabal escribió a las autoridades de Athena, la empresa que desarrolló el software, que se estaban reportando enormes cantidades de bitcoin circulando en la billetera. Mientras el error duró, se realizaron, más o menos, 3,600 transacciones por unos US$50 cada una. Eran unos US$180,000 (Q$1.4 millones), que, debido al error de emparentar de uno a uno bitcoin y dólar, más bien tenían un valor en el criptoactivo de más de US$10,000 millones (Q78,000 millones), mucho más que el presupuesto general de la Nación de El Salvador aprobado para 2021, que fue de US$7,967.7 millones.

“Esto hizo que el gobierno fuera insolvente inmediatamente”, dice Overton en su testimonio.

El cataclismo se evitó, sin embargo, tan solo por una casualidad ya que el problema se registró justo en una ventana de tiempo en la que está inhabilitada la opción de sacar bitcoin del ecosistema de la Chivo Wallet. Según Overton, este lapso se da entre las 10:00 p.m. y las 7:00 a.m. de cada día. Por eso, los fondos solo circularon dentro de la billetera en ese horario, sin que nadie los pudiera extraer convertidos en dólares. Por eso, El Salvador se salvó de quedar en bancarrota.

Según un documento presentado por Athena Bitcoin ante autoridades estadounidenses, los usuarios de Chivo Wallet no reciben dólares reales en su billetera, sino “tókens”, que son certificados respaldados únicamente por el gobierno de El Salvador. El testimonio de Overton agrega que también pasa lo mismo con los bitcoin. Por ello era necesario que los fondos salieran del ecosistema de la Wallet para que la ganancia fuera efectiva.

El equipo de Overton reparó el problema a tiempo y se reflejaron los saldos reales. Sin embargo, como matizó el estadounidense, sí era posible sacar fondos desde Chivo Wallet a otros sitios con el sistema de Lightning Network, una segunda capa agregada a la cadena de bloques de Bitcoin (BTC) que permite transacciones fuera de la cadena, es decir, transacciones entre partes que no están dentro de la red de la blockchain, fuera del libro que lleva cada uno de los resgistros de transferencias. A través de este complejo mecanismo, como menciona Overton, ese 18 de octubre de 2021, del ecosistema de la billetera gubernamental salió un aproximado de US$250,000, que en la práctica fueron hurtados de las arcas del Estado de El Salvador.

No Ficción intentó obtener la versión de Eric Gravengaard, CEO de Athena Bitcoin, a través de varios canales, como un mensaje directo a su perfil de Twitter enviado el 25 de noviembre y un mensaje al teléfono personal de Luis Canessa, managing director de Athena Bitcoin Global para Centroamérica, pero al cierre de esta nota no obtuvo respuesta. No-Ficción también dejó cartas solicitando entrevistas en las oficinas de El Salvador de Athena Bitcoin y de Chivo Wallet, que tampoco fueron contestadas.