Airdrops capturados por bots antes de que los usuarios reales siquiera conecten sus monederos. Votaciones de gobernanza inclinadas por miles de cuentas falsas. Programas de liquidez DeFi drenados por un solo actor que maneja diez mil direcciones.
No son riesgos teóricos.
Son la fricción central de todo producto cripto que intenta tratar a sus usuarios como personas y no solo como pares de claves anónimos.
El problema de fondo tiene un nombre técnico —ataque síbil— y existe desde los primeros días de las redes peer‑to‑peer. La solución emergente también tiene nombre: prueba de humanidad (proof of personhood).
Y el mercado acaba de decidir que importa.
Con Worldcoin (WLD) subiendo más de un 21% en las últimas 24 horas y Humanity Protocol (H) disparándose más de un 34% hasta situarse entre los activos más populares en CoinGecko, la señal es clara: esta narrativa se ha vuelto urgente.
Este artículo explica qué es exactamente la prueba de humanidad, cómo la construyen los sistemas líderes y por qué acertar en su diseño importa mucho más allá de los airdrops de tokens.
Resumen rápido
- La prueba de humanidad es un método criptográfico para demostrar que eres un ser humano único y real en una blockchain sin necesidad de revelar tu nombre ni otros datos personales.
- El gran problema que resuelve es el ataque síbil, en el que una sola persona crea múltiples identidades falsas para explotar sistemas pensados para individuos únicos.
- Los enfoques principales usan biometría (escáner de iris, palma de la mano, reconocimiento facial), análisis del grafo social o combinaciones de ambos, con compromisos distintos en privacidad, accesibilidad y descentralización.
- Las pruebas de conocimiento cero permiten verificar la “humanidad” sin exponer los datos biométricos subyacentes a nadie.
- A medida que los bots generados por IA se vuelven indistinguibles de los humanos en línea, la prueba de humanidad pasa de ser un problema de nicho en Web3 a una cuestión de infraestructura básica de internet.
Qué es realmente un ataque síbil y por qué lo rompe todo
El término «ataque síbil» viene de un estudio psiquiátrico de 1973 sobre una mujer con 16 personalidades distintas. El informático John Douceur lo tomó prestado en un paper de Microsoft Research de 2002 para describir una clase específica de fallo en sistemas distribuidos. El fallo funciona así: si una red otorga influencia, recursos o recompensas en función del número de identidades participantes, y crear nuevas identidades es barato, entonces un solo adversario puede desbordar el sistema generando muchas identidades falsas.
En Bitcoin (BTC) (BTC), los ataques síbil son caros porque la influencia proviene del trabajo computacional, no del número de identidades. Un minero con una máquina obtiene recompensas proporcionales a su poder de hash, con independencia de cuántas direcciones controle. Pero la mayoría de aplicaciones Web3 no funcionan así. Los airdrops asignan una porción por monedero. El voto cuadrático pondera más a los pequeños aportantes que a las ballenas, creando fuertes incentivos para dividir fondos en múltiples cuentas falsas. Los protocolos de préstamo revisan ratios de colateral por dirección, no por persona. En todos los casos, el sistema asume implícitamente que una dirección equivale a un humano. Esa suposición se rompe en cuanto cualquier actor racional se da cuenta de que es más barato crear mil monederos que aportar valor real.
Un ataque síbil no requiere hackear nada. Solo requiere que crear identidades falsas cueste menos que la recompensa obtenida. En la mayoría de aplicaciones Web3 actuales, las matemáticas favorecen claramente al atacante.
La magnitud del problema crece más rápido de lo que muchos desarrolladores imaginan. En 2023, se estimó que en torno al 20% del airdrop de Arbitrum (ARB) fue a parar a monederos síbil, según análisis on-chain. El programa de incentivos de Friend.tech fue sistemáticamente “farmeado” pocos días después de su lanzamiento. Y todos estos ejemplos son anteriores a la generación actual de agentes de IA, capaces ya de crear monederos, financiarlos, interactuar con protocolos y superar filtros básicos antibot con una supervisión humana mínima.
Lee también: OpenAI Launches Lockdown Mode To Block Prompt Injection Attacks
Cómo la prueba de humanidad crea la garantía de “una persona, una identidad”
La prueba de humanidad no es una tecnología única. Es un objetivo de diseño: crear una credencial que solo pueda poseer una persona real, que no pueda transferirse ni duplicarse, y que cualquier sistema pueda verificar sin necesidad de confiar en una autoridad central.
Piense en ello como un certificado de nacimiento criptográfico para internet, pero en el que el emisor no necesita saber tu nombre.
La idea clave es que los seres humanos tienen atributos físicos o sociales únicos y difíciles de falsificar. Tu patrón de iris es estadísticamente único entre todos los humanos vivos.
Tu rostro, tu huella de la palma, tus patrones de comportamiento en línea y el grafo social de personas que te conocen y responden por ti son todos atributos muy difíciles de replicar a gran escala. Un sistema de prueba de humanidad convierte uno de estos atributos en una credencial on-chain que afirma que «este monedero pertenece a exactamente un ser humano real», sin decir qué humano ni cómo es ese atributo.
La credencial como tal adopta formas distintas según el sistema. Worldcoin emite un World ID, que es una prueba de conocimiento cero de que has escaneado tu iris con el dispositivo Orb del proyecto y de que no estabas ya registrado. Humanity Protocol utiliza escaneo de venas de la palma y emite un identificador descentralizado (DID) junto con credenciales verificables (VC). Proof of Humanity (un proyecto distinto, basado en Ethereum (ETH)) se apoya en vídeos y un sistema de aval social en el que humanos ya verificados respaldan a los nuevos aspirantes.
El estándar de oro de cualquier sistema de prueba de humanidad es que el mero hecho de que la credencial exista no revele nada sobre la persona que hay detrás, salvo que es humana.
Lo que une a estos enfoques es la separación entre el evento de verificación y el registro on-chain. El sistema necesita comprobar tu biometría durante el alta. A partir de ahí, la credencial on-chain porta la prueba sin conservar los datos subyacentes.
Lee también: Tether's USDT Flips Ethereum For First Time In 8 Years, Then Slips Back
Enfoques biométricos: cómo funcionan en cadena los escaneos de iris, palma y rostro
Los sistemas biométricos de prueba de humanidad siguen una cadena de tres etapas claras: captura, generación de plantilla y compromiso.
En la fase de captura, un dispositivo de hardware registra tu dato biométrico. El Orb de Worldcoin usa cámaras de infrarrojo cercano para fotografiar ambos iris en alta resolución.
El hardware de Humanity Protocol captura los patrones únicos de venas en tu palma, estructuras internas invisibles para cámaras convencionales y prácticamente imposibles de replicar externamente. La condición clave en esta fase es que el hardware sea confiable, razón por la cual ambos proyectos construyen dispositivos propios o recurren a socios certificados, en lugar de confiar en cámaras de smartphone.
En la generación de plantilla, la imagen en bruto se convierte en una representación matemática, como un IrisCode (en sistemas basados en iris) o un vector de características equivalente. Un IrisCode condensa la textura y estructura del iris en una cadena binaria compacta. Dos escaneos del mismo iris producen IrisCodes que difieren en menos del 10% de los bits. Dos escaneos de iris distintos difieren aproximadamente en el 45% de los bits, estadísticamente similar al ruido aleatorio. Esa diferencia permite comprobar la unicidad biométrica sin inspección visual.
En la etapa de compromiso, la plantilla se somete a un hash y el hash se registra on-chain.
Worldcoin va más allá con un protocolo de prueba de conocimiento cero: el Orb genera un compromiso de tu IrisCode y el sistema puede verificar después que un nuevo escaneo coincide con un compromiso ya existente sin revelar jamás el IrisCode ni siquiera el propio compromiso en texto claro. El registro on-chain solo almacena un “nullifier”, un código de un solo uso que prueba que has utilizado tu credencial sin vincular ese uso con el registro original.
La implicación práctica para la privacidad es relevante. Un observador que mire la blockchain puede confirmar que alguien con un World ID válido ha realizado una acción. No puede saber de quién era ese ID, cómo es su iris ni ningún otro atributo personal.
Lee también: Ethereum Hasn't Traded This Low Since 2023, And It's Still Sliding
Enfoques de grafo social y por qué algunos sistemas evitan la biometría por completo
No todos los equipos que trabajan en prueba de humanidad creen que la biometría hardware sea la respuesta adecuada. Las objeciones se agrupan en dos categorías: accesibilidad (los dispositivos Orb exigen presencia física en un punto de despliegue, dejando fuera a miles de millones de personas) y confianza (el fabricante del hardware se convierte en un único punto de fallo para todo el sistema de identidad).
Los enfoques basados en grafo social siguen otro camino.
El proyecto original Proof of Humanity en Ethereum pide a cada solicitante que suba un breve vídeo de sí mismo junto con un depósito. Un miembro ya verificado de la red debe después avalarlo apostando un depósito a su favor. Si un tercero impugna una solicitud y gana, el aspirante pierde su depósito.
El avalista no pierde nada si la incorporación resulta correcta. Este sistema no requiere más hardware que un smartphone y no recopila plantillas biométricas.
Gitcoin Passport agrega señales en lugar de depender de una sola. Los usuarios acumulan “stamps” procedentes de cuentas verificadas en distintas plataformas: contribuciones en GitHub, nombres ENS, verificación de identidad en Coinbase, conexiones en BrightID y otras. Cada “stamp” suma evidencia de humanidad. El sistema puntúa a los usuarios por encima de un umbral para darles acceso a programas de subvenciones, con umbrales más altos para las aplicaciones más sensibles.
BrightID recurre de forma más directa al análisis del grafo social. Los usuarios se unen a videollamadas grupales con miembros existentes, que verifican que están interactuando con una persona real y distinta. La red aplica algoritmos de teoría de grafos para detectar racimos de cuentas que parecen controladas por una misma entidad y las señala como probables sybils. El whitepaper de BrightID define este enfoque como una prueba de unicidad “basada en conexiones”, en lugar de biométrica.
Cada enfoque social introduce vulnerabilidades propias. Los sistemas basados en grafos pueden ser manipulados por grupos coordinados que se avalan mutuamente entre identidades falsas. Las videollamadas, a su vez, son vulnerables a deepfakes a medida que mejora la calidad del vídeo generado por IA.
Sistemas de ponderación como Gitcoin Passport parten de la premisa de que acumular muchas credenciales de plataforma a la vez es lo bastante costoso como para desincentivar ataques sybil, algo que puede dejar de ser cierto a medida que proliferen los agentes de IA.
También te puede interesar: Dos rivales de IA y una sola factura de cómputo: dentro del movimiento de Google de 30.000 millones con SpaceX
Por qué las pruebas de conocimiento cero son la capa de privacidad que hace todo esto viable
Todo sistema biométrico de prueba de humanidad afronta una tensión de base: verificar exige conocer algo cierto sobre ti, pero almacenar esa verdad crea una base de datos de vigilancia. La salida a este dilema viene de las pruebas de conocimiento cero (ZKPs), una técnica criptográfica que permite a una parte demostrar a otra que conoce un hecho sin revelar el hecho en sí.
Una ZKP aplicada a identidad funciona así. Imagina que quieres demostrar a un protocolo DeFi —interesado en evitar el sybil farming— que estás registrado en Worldcoin. Sin ZKPs, enviarías tu dirección de wallet y el protocolo consultaría tu credencial de World ID. Pero entonces podría trazar un perfil de todas las acciones que has realizado con esa credencial. Con una ZKP, en cambio, generas una prueba que básicamente dice: “Poseo una credencial de World ID válida”, sin revelar cuál, ni qué wallet la registró originalmente, ni ningún otro dato identificador. El protocolo verifica la prueba matemáticamente y te concede acceso.
Worldcoin implementa esto con una variante de Semaphore, un protocolo ZK desarrollado originalmente por el equipo de Ethereum Privacy and Scaling Explorations. Semaphore permite que los miembros de un grupo prueben pertenencia y envíen mensajes sin revelar su identidad concreta dentro de ese grupo. Worldcoin añade un mecanismo de nullifier para que cada World ID solo pueda emplearse una vez por contexto de aplicación, impidiendo que la misma credencial reclame múltiples asignaciones.
El coste computacional de generar ZKPs ha sido históricamente el gran cuello de botella para llevar identidad on-chain al uso cotidiano. Probar circuitos complejos podía llevar minutos en hardware de consumo. Los avances recientes, especialmente en STARKs y agregación recursiva de pruebas, han reducido de forma drástica esos tiempos. Worldcoin afirma que hoy puede generar pruebas de World ID en un smartphone en menos de dos segundos.
Las pruebas de conocimiento cero no solo protegen la privacidad del usuario. También descargan en buena medida de responsabilidad a las aplicaciones que usan credenciales de prueba de humanidad, porque nunca llegan a recibir ni almacenar los datos biométricos subyacentes.
También te puede interesar: Compradores de AAVE absorben fuertes ventas, pero el precio igualmente cae un 12 %
El problema de la centralización y por qué la descentralización es tan difícil
El gran problema sin resolver en la prueba de humanidad es que los sistemas biométricos basados en hardware necesitan que alguien fabrique y despliegue ese hardware. Ese “alguien” se convierte en un guardián de acceso, y los guardianes introducen riesgo de centralización.
El Orb de Worldcoin está diseñado y fabricado por Tools For Humanity, la compañía cofundada por Sam Altman. Cada World ID nace de un escaneo realizado con un Orb.
Si Tools For Humanity cambia sus políticas, sufre un hack o se ve obligada a cesar operaciones por motivos regulatorios, toda la infraestructura de credenciales queda comprometida. El proyecto ha abierto el código de su sistema de coincidencia de iris y de sus circuitos ZK como mitigación parcial y se ha comprometido a una transición hacia un modelo de gobernanza comunitaria. Pero la fabricación física de los dispositivos Orb sigue totalmente centralizada.
Humanity Protocol se topa con el mismo escollo estructural, aunque en otra capa de hardware. Los escáneres de venas de la palma exigen equipos de infrarrojo cercano especializados que no puede replicar cualquier fabricante. El proyecto ha anunciado una red de socios de verificación certificados en vez de un único productor, lo que distribuye algo más la confianza pero no elimina la dependencia de hardware propietario.
Los sistemas puramente sociales como Proof of Humanity y BrightID evitan la centralización del hardware, pero introducen otras dependencias de gobernanza. ¿Quién define las reglas de aval? ¿Quién decide cuándo un vídeo es fraudulento? ¿Quién resuelve disputas? Estas decisiones exigen estructuras de gobernanza, y las estructuras de gobernanza tienen sus propios vectores de ataque.
El sistema más descentralizado imaginable no requeriría ni hardware ni avales sociales, solo propiedades criptográficas ligadas a la propia persona. Los investigadores han explorado biometría conductual, patrones de tecleo, movimientos del ratón y reconocimiento de la forma de andar mediante acelerómetros de móvil como posibles insumos. Ninguno de estos métodos es hoy lo bastante robusto como para sustentar en solitario un sistema de prueba de humanidad, pero la línea de investigación está muy activa.
También te puede interesar: XRP y Stellar vuelven a moverse al unísono: esto es lo que han detectado los traders
Quién necesita realmente pruebas de humanidad y cómo se usan en la práctica
Entender cómo se aplica la prueba de humanidad en el mundo real es tan importante como entender su arquitectura técnica. El abanico de casos de uso es más amplio de lo que suele creer quien se acerca por primera vez a este concepto.
Los airdrops y repartos de tokens son hoy el uso más visible. Los protocolos que quieren repartir tokens entre usuarios reales y no entre granjas de bots pueden condicionar las reclamaciones a disponer de un World ID o una credencial de Proof of Humanity. Esto no elimina por completo el farming: un atacante decidido podría conseguir credenciales de forma fraudulenta, pero encarece muchísimo la operación. Tendría que presentarse físicamente (él o un tercero) en múltiples ubicaciones con Orb para acumular varias credenciales.
La financiación cuadrática es, probablemente, la aplicación de mayor valor social. En este modelo, las pequeñas donaciones de muchos usuarios únicos reciben una subvención mucho mayor que las grandes aportaciones de unos pocos. El sistema solo funciona como se pretende si los donantes son realmente únicos. Gitcoin utiliza sellos de prueba de humanidad como capa clave de resistencia a ataques sybil en su programa de grants desde 2022.
La gobernanza descentralizada es otra gran beneficiaria potencial. El voto en las DAO sigue siendo en gran medida plutocrático: más tokens equivalen a más votos, y el capital concentra el poder de decisión.
Un modelo de “una persona, un voto” solo es viable cuando se puede verificar que cada miembro es un humano único. Proyectos como ENS, Optimism y Gitcoin han empezado a explorar modelos híbridos donde el voto por tokens se compensa parcialmente con mecanismos de voto ligados a identidad verificada.
Los programas de renta básica universal y políticas sociales son la apuesta más ambiciosa. La misión declarada de Worldcoin va justo en esa línea: construir un censo global de personas verificadas y distribuir una parte de la productividad futura de la IA a cada ser humano registrado. La arquitectura de Humanity Protocol, con su capa de DIDs y credenciales verificables, está pensada precisamente para dar soporte a alianzas de este tipo con gobiernos y ONG.
La verificación de agentes de IA es la nueva frontera. A medida que los agentes autónomos de inteligencia artificial empiezan a operar en DeFi, su capacidad para imitar el comportamiento humano avanza más rápido que las técnicas de detección. Las credenciales de prueba de humanidad pueden convertirse en el mecanismo clave para distinguir entre agentes que actúan en nombre de humanos verificados y bots plenamente autónomos. Proyectos que integran la capa de IA de NEAR Protocol y arquitecturas similares tendrán que responder de forma directa a este reto.
También te puede interesar: LUNC cae un 31 % mientras la oleada vendedora arrastra a la baja a las small caps
Las preguntas regulatorias y éticas que nadie ha resuelto del todo
La prueba de humanidad se sitúa en la intersección entre la normativa de privacidad, la regulación de datos biométricos y las obligaciones de cumplimiento financiero, en un terreno que ningún país ha terminado de aclarar.
En la Unión Europea, los datos biométricos se consideran una categoría especial de datos personales bajo el RGPD y, como tal, reciben el máximo nivel de protección.
Recoger escaneos de iris de residentes comunitarios exige consentimiento explícito, una base jurídica y una finalidad de tratamiento legítimas, además de salvaguardas técnicas adecuadas. Worldcoin ha afrontado procedimientos en varios países de la UE, como Baviera y Portugal, por dudas sobre la calidad del consentimiento y la correcta aplicación del derecho de supresión. El proyecto suspendió operaciones en algunos mercados mientras dialogaba con los reguladores.
En Estados Unidos, la protección de la biometría recae en las leyes estatales, no a nivel federal. La Biometric Information Privacy Act (BIPA) de Illinois es la más estricta: exige consentimiento escrito explícito y fija un límite de cinco años a la retención de datos. Texas y Washington cuentan con normas similares. Cualquier sistema de prueba de humanidad que recopile biometría de residentes en EE. UU. debe navegar ese mosaico regulatorio.
Las cuestiones éticas van todavía más allá del marco legal. El riesgo de exclusión biométrica es real: personas mayores, con determinadas patologías, daños o particularidades en el iris o patrones de venas pueden fallar la verificación sin haber hecho nada malo. Si el acceso a aplicaciones clave de Web3 dependiera exclusivamente de estas pruebas, se correría el riesgo de crear una nueva clase de excluidos digitales.
También persiste un debate de fondo sobre si cualquier sistema biométrico…Ninguna base de datos, por muy bien cifrada que esté y por mucha protección de conocimiento cero que prometa, debería existir a la escala que imagina Worldcoin. Expertos en seguridad han advertido que un repositorio de compromisos IrisCode podría volverse vinculable si algún día se rompe la función hash subyacente o si errores de implementación filtran información. La historia de la ciberseguridad no invita precisamente al optimismo: los sistemas diseñados para ser privados rara vez mantienen ese nivel de privacidad para siempre.
También lee: ¿Se Acerca La IA A Un Punto De No Retorno? Anthropic Pide Un Marco De Pausa
Conclusión
La prueba de humanidad (proof of personhood) es uno de los retos más ambiciosos desde el punto de vista técnico y de mayor impacto social en todo el campo de la criptografía.
Plantea una pregunta engañosamente sencilla: ¿cómo demuestras que eres humano sin depender de que nadie te avale?
La respuesta exige una combinación poco habitual: hardware especializado, criptografía avanzada, gobernanza descentralizada y un diseño de privacidad extremadamente cuidadoso, integrados de una manera que ningún proyecto actual ha conseguido perfeccionar.
Lo que sí está claro es que el problema no va a desaparecer.
Los agentes generados por IA están mejorando a un ritmo que supera la capacidad de las técnicas de detección. Los incentivos económicos para lanzar ataques sybil crecen a medida que fluye más valor a través de los sistemas Web3. Y los beneficios de resolver bien este desafío —desde una gobernanza creíblemente neutral hasta infraestructuras financieras universalmente accesibles— son lo bastante grandes como para justificar tanto el esfuerzo de ingeniería como un debate honesto sobre los compromisos que implica.
Worldcoin y Humanity Protocol encabezan hoy las propuestas biométricas y su tracción en el mercado refleja una demanda real de soluciones.
Pero el sector está en una fase muy temprana.
Es muy probable que la arquitectura de la infraestructura de proof of personhood en 2030 sea sustancialmente distinta de cualquiera de las versiones que conocemos hoy.
Para cualquiera que construya en Web3, seguir de cerca esta área no es opcional. La capacidad de distinguir de forma fiable a humanos de bots on-chain será un pilar básico de la próxima generación de aplicaciones descentralizadas.
Lee también: Justin Sun Intensifica Su Pulso Con WLFI Mientras HTX Elimina USD1
