El esperado evento "¿ZachXBT expone el uso de información privilegiada en una empresa de criptomonedas?", que generó decenas de millones de dólares en apuestas en Polymarket en los últimos días, finalmente llegó a su fin. El 26 de febrero, el detective on-chain ZachXBT publicó oficialmente su informe de investigación, señalando a la plataforma de trading DeFi Axiom Exchange. El informe alega que empleados de alto rango de la plataforma abusaron de sus privilegios de gestión interna, accedieron ilegalmente a los datos privados de las billeteras de los usuarios durante un período prolongado y utilizaron esta información confidencial como herramienta para el uso de información privilegiada. Este artículo profundizará en la cadena de evidencia revelada por ZachXBT, cuando la "transparencia on-chain" se ve secuestrada por la "gestión de caja negra off-chain". ZachXBT expone el escándalo de uso de información privilegiada en Axiom Exchange. Axiom Exchange fue fundada por Mist y Cal y seleccionada para el Winter Batch (W25) de Y Combinator a principios de 2025. La plataforma obtuvo un rendimiento asombroso de más de 390 millones de dólares en ingresos acumulados en tan solo un año. Sin embargo, tras las impresionantes cifras financieras, un alto funcionario de desarrollo comercial llamado Broox Bauer estaba convirtiendo las herramientas de backend de Axiom en un terreno de caza privado. Según la investigación de ZachXBT, Broox Bauer no trabajaba solo; había creado un proceso organizado de "monetización de la información". En el centro de este proceso se encontraba el panel de control interno de Axiom, donde Broox podía consultar libremente la información privada de cualquier usuario mediante códigos de referencia, direcciones de monedero o UID. En la grabación, Broox declaró que podía "encontrar cualquier información sobre esa persona" y que sus operaciones eran altamente sofisticadas en su contravigilancia: inicialmente, solo consultaba entre 10 y 20 monederos para evitar activar las alertas del sistema. Los objetivos no fueron seleccionados al azar. Por ejemplo, un KOL llamado Marcell, que había estado comprando grandes cantidades de memecoins usando una billetera privada y promoviendo retiros de liquidez entre sus seguidores, se convirtió en un objetivo clave. Estos comerciantes rara vez revelan sus billeteras privadas, y sus direcciones tienen bajas tasas de reutilización, lo que hace que esta información sea muy valiosa para el arbitraje. La organización estableció reglas y procedimientos, como la asistencia de otro empleado de Axiom, Ryan (Ryucio), para encontrar información de los usuarios, la contratación de Gowno como moderador y la recopilación de estas billeteras privadas en Hojas de Cálculo de Google para su seguimiento. Estas violaciones continuaron durante más de diez meses (a partir de abril de 2025), y la cadena de evidencia incluyó capturas de pantalla de la administración del backend de víctimas como "Jerry" y "Monix". Esta información también planteó preguntas: ¿Por qué los empleados de desarrollo comercial tenían permisos de acceso que traspasaban funciones? La supervisión, las advertencias y el control de acceso que deberían haber estado implementados claramente no funcionaban. La respuesta oficial de Axiom aún no pudo ocultar las fallas estructurales subyacentes. Después de que se publicó el informe de ZachXBT, Axiom siguió un enfoque estándar de gestión de crisis de relaciones públicas: emitir una declaración expresando "conmoción y decepción", revocando el acceso e iniciando una investigación.Sin embargo, esto aún no puede ocultar la disfunción estructural subyacente. Estos incidentes revelan una falla en el control de acceso de la plataforma, más que simplemente las acciones individuales de un solo empleado. 1. Registros de auditoría faltantes: En las empresas financieras tradicionales o de tecnología Web2 establecidas, cualquier acceso a datos confidenciales de los usuarios debe registrarse. Si un empleado de desarrollo comercial puede consultar cientos de direcciones de billetera no relacionadas con su negocio en todas las funciones, el sistema debería generar una alerta de inmediato. El vacío regulatorio de diez meses de Axiom sugiere que sus sistemas internos podrían carecer de un "mecanismo de detección de comportamiento anormal", e incluso la retención de "registros de operaciones" es cuestionable. 2. El alcance de las víctimas sigue sin estar claro: El comunicado de Axiom no mencionó la magnitud de los usuarios afectados. Esto plantea inquietudes más profundas: si Broox Bauer pudo acceder a los datos, ¿qué pasa con los demás empleados? El informe menciona que el moderador Gowno y otro empleado de desarrollo comercial, Ryan, fueron cómplices, lo que sugiere que dicho abuso de acceso podría ser relativamente fácil. Cuando la estructura de gobernanza de una organización se basa en la confianza en lugar de las normas, el coste marginal de la corrupción interna es extremadamente bajo. ¿Acceso apenas efectivo? El agujero negro de la gobernanza de datos de una creación de Web3 analiza en profundidad el núcleo de este escándalo. El informe de ZachXBT enumera dimensiones alarmantes de los datos de backend accesibles: una lista completa de las billeteras de los usuarios, las billeteras que el usuario rastrea, el historial completo de transacciones, los apodos de las billeteras definidos por el usuario y las cuentas asociadas. Esta lista abarca más que solo datos de transacciones; proporciona una visión completa de los patrones de comportamiento de un usuario en la cadena de bloques. En las instituciones financieras tradicionales, el acceso a este tipo de datos se rige estrictamente por el principio de la información mínima necesaria. Ningún empleado puede acceder a información confidencial de clientes sin una clara necesidad comercial; todas las actividades de acceso deben registrarse de forma auditable y ser auditadas periódicamente por el departamento de cumplimiento. La lógica de diseño de este mecanismo es simple: no se basa en los estándares morales individuales de los empleados, sino que utiliza una combinación de tecnología y normativas para minimizar el potencial de daño antes de que surjan problemas. El backend de Axiom claramente incumple este estándar. Aún más sugerente es que este tipo de problema no es un caso aislado entre las startups de Web3. Los equipos en rápida expansión suelen centrar los recursos de ingeniería en la iteración del producto, mientras que el cumplimiento normativo y la arquitectura de gobernanza de datos se posponen, incluso se consideran "problemas que deben abordarse tras la salida a bolsa". Sin embargo, una vez que una plataforma alcanza la escala de Axiom, la confidencialidad de los datos accesible a las herramientas de backend supera con creces la de las etapas iniciales, mientras que la construcción de mecanismos de protección suele quedar a nivel de startup. Este caso también revela una paradoja singularmente absurda de la Web3: la transparencia en la cadena no es en absoluto equivalente a la transparencia fuera de la cadena.Blockchain otorga a las transacciones "transparencia anónima", lo que permite a todos ver el flujo de direcciones, pero dificulta discernir las entidades que las respaldan. Sin embargo, el verdadero riesgo surge en el momento en que los usuarios completan el registro, vinculan sus billeteras y establecen notas: confían la conexión crucial —"Soy el propietario de esta dirección"— a la base de datos centralizada de la plataforma. Después, el anonimato se convierte gradualmente en una ilusión. Una vez que esta identidad se vincula a más información, se etiqueta con más etiquetas o incluso se abusa de ella, la transparencia en la cadena ya no protege a los usuarios, sino que se convierte en la herramienta más precisa en manos de los delincuentes. La descentralización a nivel de protocolo nunca es lo mismo que la descentralización a nivel de empresa. El escándalo de Axiom revela más que la simple mala conducta individual de unos pocos empleados. Es más bien un reflejo de una gran contradicción que toda la industria de la Web3 ha evitado durante mucho tiempo bajo la narrativa de la "descentralización": la descentralización a nivel de protocolo nunca es lo mismo que la descentralización a nivel de operación de la empresa. Cuando el negocio principal de una plataforma aún depende de sistemas back-end centralizados, atención al cliente humana y el criterio de los empleados, las etiquetas "DeFi" o "Web3" son meramente decorativas. Los usuarios confían en la inmutabilidad de los contratos inteligentes, pero olvidan que en el momento en que ingresan su información personal y vinculan sus billeteras, confían su información más crítica a una organización completamente centralizada. La confianza nunca es gratuita; en entornos donde los sistemas aún no están maduros, quien presenta la mayor asimetría de información siempre asume el costo de la confianza. [ChainCatcher]