S&P Global anunció el 17 de septiembre de 2026 un acuerdo para adquirir OpenZeppelin, una de las firmas de referencia en seguridad de contratos inteligentes (programas que ejecutan automáticamente los términos de un acuerdo sobre una blockchain, sin intermediario). Los términos financieros no fueron revelados, el cierre sigue sujeto a las condiciones habituales y S&P dijo que no espera un impacto material en sus resultados financieros.
La noticia importa por lo que S&P compra y por una pregunta que el sector aún no resuelve: cuánto protege una auditoría cuando el riesgo está fuera del código revisado.
Qué compra exactamente S&P Global
OpenZeppelin, fundada en 2015, desarrolla una de las librerías de contratos inteligentes de código abierto más usadas del sector. Según la compañía, OpenZeppelin Contracts ha estado detrás de más de 37 billones de dólares en valor transferido, y sus equipos han completado más de 900 auditorías de seguridad y detectado más de 10.000 vulnerabilidades antes de que llegaran a producción.
OpenZeppelin no es simplemente «la empresa detrás de USDT y USDC»: sus estándares y componentes están presentes en 9 de las 10 mayores stablecoins por capitalización de mercado, incluida USDC, y en 2018 realizó una auditoría puntual del contrato del token de Tether. Seguirá operando como unidad independiente bajo su propio nombre; su CEO, Demian Brener, se mantiene en el cargo y pasa a reportarle a Yann Le Pallec, presidente de S&P Global Ratings.
Para S&P, el objetivo declarado no es sumar una firma de auditoría más: la compañía dice que la operación amplía su capacidad de evaluación de riesgo hacia la capa tecnológica de los mercados onchain, con nuevos benchmarks e inteligencia para activos digitales. No es comprar exposición al precio de una criptomoneda; es incorporar quién evalúa la infraestructura sobre la que se construyen esos activos.
La grieta que el comunicado no menciona
El Reporte del Estado de la Seguridad Cripto 2026 de CoinGecko, publicado el 27 de agosto de 2026 —tres semanas antes del anuncio de S&P—, midió 245 incidentes entre enero de 2025 y julio de 2026, con pérdidas por 3.630 millones de dólares. El dato que más circuló fue que el 88,44% de ese dinero se perdió en protocolos que ya habían sido auditados.
Esa cifra no significa que las auditorías fallaran 9 de cada 10 veces. De los 245 incidentes, 147 afectaron a plataformas auditadas: cerca del 60%. Esas plataformas concentraron el 88,44% de las pérdidas porque suelen manejar más capital, no porque la auditoría fracase más seguido. El 88% mide dinero perdido; el 60% mide cuántas plataformas comprometidas habían sido auditadas.
Hay una cifra más reveladora: solo el 11% de los incidentes en sistemas auditados correspondió a fallas de contrato inteligente dentro del alcance real de la auditoría (396 millones de dólares). El resto entró por infraestructura externa, código actualizado después de la revisión o mecanismos de gobernanza manipulados —zonas que una auditoría de contrato estándar no cubre. CoinGecko encontró, además, que los diez mayores ataques del período concentraron más del 72,5% de todo el valor robado, y que las vulnerabilidades de infraestructura y cadena de suministro fueron la categoría más costosa, con más de 1.800 millones de dólares en pérdidas.
Parte de un patrón, no un movimiento aislado
OpenZeppelin no llegó sola. El 1 de septiembre, S&P Dow Jones Indices lanzó con Kaiko una familia de índices de activos digitales. El 14, S&P lideró la inversión que extendió la Serie B de Kaiko —datos de mercado cripto— a 110 millones de dólares. Tres días después, OpenZeppelin. S&P no ha dicho que las tres respondan a un plan único, pero la secuencia —datos de mercado, ahora evaluación de seguridad técnica— describe una expansión hacia la infraestructura onchain, no solo hacia sus precios.
Qué cambia para quien usa stablecoins en la región
Buena parte del uso cotidiano de stablecoins en América Latina —ahorrar en dólares fuera del sistema bancario local, mover dinero entre países— descansa en que «auditado» se lea como «seguro». Pero la seguridad de una stablecoin no depende solo del código de su contrato: también de permisos administrativos, actualizaciones posteriores, puentes entre redes, custodia de claves y gobernanza. Una auditoría reduce ciertos riesgos, no todos.
La señal que confirmaría si esta compra cierra esa brecha —y no solo le presta distribución institucional a OpenZeppelin— es si S&P amplía sus evaluaciones hacia esa capa de infraestructura y gobernanza que el reporte de CoinGecko señala como el punto real de entrada de los ataques, o si empieza a publicar evaluaciones de riesgo atadas a protocolos específicos. Si el alcance de las auditorías de OpenZeppelin se mantiene igual bajo la nueva propiedad, lo que cambió por ahora es a quién le reporta Brener, no qué tan expuesto sigue el dinero que ya estaba auditado.
Lo que lees es análisis periodístico basado en datos verificados, no una predicción ni recomendación de inversión. CryptoArepa analiza, tú decides.
