Zhu Su analiza a Larry Cermak y la información privilegiada de 1011 Whale: exceso de confianza y reingreso prematuro tras el pico

La aplicación X Chat estará disponible para su descarga en la App Store este viernes. Los medios de comunicación ya han informado sobre la lista de funciones, que incluye mensajes que se autodestruyen, la prevención de capturas de pantalla, chats grupales de hasta 481 personas, la integración con Grok y el registro sin necesidad de un número de teléfono, y la han calificado como el «WeChat occidental». Sin embargo, hay tres cuestiones que apenas se han abordado en ningún informe.

Hay una frase en la página de ayuda oficial de X que sigue ahí: «Si personas malintencionadas dentro de la empresa o la propia X provocan que las conversaciones cifradas queden al descubierto a raíz de procedimientos legales, ni el remitente ni el destinatario se darán cuenta en absoluto».

No. La diferencia radica en dónde se almacenan las claves.

En el cifrado de extremo a extremo de Signal, las claves nunca salen de tu dispositivo. Ni X, ni el tribunal, ni ninguna tercera parte tiene tus claves. Los servidores de Signal no disponen de nada que permita descifrar tus mensajes; incluso si se les exigiera mediante una citación judicial, solo podrían facilitar las marcas de tiempo de registro y las horas de la última conexión, tal y como demuestran los registros de citaciones judiciales anteriores.

X Chat utiliza el protocolo Juicebox. Esta solución divide la clave en tres partes, cada una de las cuales se almacena en uno de los tres servidores gestionados por X. Al recuperar la clave con un código PIN, el sistema recupera estos tres fragmentos de los servidores de X y los vuelve a combinar. Por muy complejo que sea el código PIN, X es quien realmente custodia la clave, no el usuario.

Este es el trasfondo técnico de la «frase de la página de ayuda»: dado que la clave se encuentra en los servidores de X, X tiene la capacidad de responder a procedimientos legales sin que el usuario lo sepa. Signal no tiene esta capacidad, no por una cuestión de política, sino porque simplemente no dispone de la clave.

La siguiente ilustración compara los mecanismos de seguridad de Signal, WhatsApp, Telegram y X Chat en seis aspectos. X Chat es la única de las cuatro en la que la plataforma conserva la clave y la única que carece de confidencialidad hacia adelante.

La importancia de la confidencialidad hacia adelante radica en que, aunque una clave se vea comprometida en un momento dado, los mensajes anteriores no pueden descifrarse, ya que cada mensaje cuenta con una clave única. El protocolo Double Ratchet de Signal actualiza automáticamente la clave después de cada mensaje, un mecanismo del que carece X Chat.

Tras analizar la arquitectura de XChat en junio de 2025, Matthew Green, profesor de criptología de la Universidad Johns Hopkins, comentó: «Si consideramos XChat como un sistema de cifrado de extremo a extremo, esta vulnerabilidad parece ser de las que suponen el fin del juego». Más tarde añadió: «No confiaría en esto más de lo que confío en los mensajes directos actuales sin cifrar».

Desde el informe de TechCrunch de septiembre de 2025 hasta su puesta en marcha en abril de 2026, esta arquitectura no sufrió ningún cambio.

En un tuit publicado el 9 de febrero de 2026, Musk se comprometió a someter X Chat a rigurosas pruebas de seguridad antes de su lanzamiento en X Chat y a publicar todo el código en código abierto.

A fecha del 17 de abril, fecha de lanzamiento, no se ha realizado ninguna auditoría independiente por parte de terceros, no existe un repositorio oficial del código en GitHub y la etiqueta de privacidad de la App Store revela que X Chat recopila cinco o más categorías de datos, entre los que se incluyen la ubicación, la información de contacto y el historial de búsqueda, lo que contradice directamente la afirmación publicitaria de «Sin anuncios, sin rastreadores».

No se trata de una supervisión continua, sino de un punto de acceso claro.

En cada mensaje de X Chat, los usuarios pueden mantener pulsado y seleccionar «Preguntar a Grok». Al hacer clic en este botón, el mensaje se envía a Grok en texto sin cifrar, pasando de estar cifrado a estar sin cifrar en esta fase.

Este diseño no es una vulnerabilidad, sino una característica. Sin embargo, la política de privacidad de X Chat no especifica si estos datos en texto sin cifrar se utilizarán para el entrenamiento del modelo de Grok ni si Grok almacenará el contenido de estas conversaciones. Al hacer clic en «Pregúntale a Grok», los usuarios desactivan voluntariamente la protección de cifrado de ese mensaje.

También hay un problema estructural: ¿Cuánto tardará este botón en pasar de ser una «función opcional» a convertirse en un «hábito habitual»? Cuanto mayor sea la calidad de las respuestas de Grok, más a menudo recurrirán a él los usuarios, lo que provocará un aumento en la proporción de mensajes que quedan fuera de la protección del cifrado. La solidez real del cifrado de X Chat, a la larga, depende no solo del diseño del protocolo Juicebox, sino también de la frecuencia con la que los usuarios hagan clic en «Ask Grok».

La versión inicial de X Chat solo es compatible con iOS; en cuanto a la versión para Android, solo se indica «próximamente», sin especificar una fecha concreta.

En el mercado mundial de teléfonos inteligentes, Android cuenta con una cuota de mercado de aproximadamente el 73 %, mientras que iOS tiene alrededor del 27 % (IDC/Statista, 2025). De los 3.140 millones de usuarios activos mensuales de WhatsApp, el 73 % utiliza Android (según Demand Sage). En la India, WhatsApp cuenta con 854 millones de usuarios, con una penetración de Android superior al 95 %. En Brasil hay 148 millones de usuarios, de los cuales el 81 % utiliza Android, y en Indonesia hay 112 millones de usuarios, de los cuales el 87 % utiliza Android.

El dominio de WhatsApp en el mercado mundial de las comunicaciones se basa en Android. Signal, con una base de usuarios activos mensuales de unos 85 millones, también cuenta principalmente con usuarios preocupados por la privacidad en países donde predomina Android.

X Chat eludió este campo de batalla, lo que da lugar a dos posibles interpretaciones. Una de ellas es la deuda técnica; X Chat está desarrollado en Rust, y lograr la compatibilidad multiplataforma no es fácil, por lo que dar prioridad a iOS puede suponer una limitación desde el punto de vista técnico. La otra es una decisión estratégica; dado que iOS cuenta con una cuota de mercado de casi el 55 % en Estados Unidos y que la base de usuarios principal de X se encuentra en ese país, dar prioridad a iOS significa centrarse en su base de usuarios principal, en lugar de entrar en competencia directa con los mercados emergentes, dominados por Android, y con WhatsApp.

Estas dos interpretaciones no son mutuamente excluyentes y conducen al mismo resultado: Con su lanzamiento, X Chat renunció voluntariamente al 73 % de los usuarios de teléfonos inteligentes de todo el mundo.

Algunos han descrito este asunto de la siguiente manera: X Chat, junto con X Money y Grok, forma un trío que crea un sistema de datos de circuito cerrado paralelo a la infraestructura existente, similar en su concepto al ecosistema de WeChat. Esta valoración no es nueva, pero con el lanzamiento de X Chat, merece la pena volver a examinar el esquema.

X Chat genera metadatos de comunicación, incluida información sobre quién habla con quién, durante cuánto tiempo y con qué frecuencia. Estos datos se introducen en el sistema de identidad de X. Parte del contenido del mensaje pasa por la función «Ask Grok» y entra en la cadena de procesamiento de Grok. Las transacciones financieras las gestiona X Money: las pruebas públicas externas concluyeron en marzo y el servicio se abrió al público en abril, lo que permite realizar transferencias entre particulares de dinero fiduciario a través de Visa Direct. Un alto cargo de Fireblocks ha confirmado los planes para poner en marcha los pagos con criptomonedas a finales de año, ya que actualmente la empresa cuenta con licencias de transferencia de fondos en más de 40 estados de EE. UU.

Todas las funciones de WeChat se ajustan al marco normativo de China. El sistema de Musk opera dentro de los marcos normativos occidentales, pero él también ocupa el cargo de director del Departamento de Eficiencia Gubernamental (DOGE). No se trata de una réplica de WeChat, sino de una recreación de la misma lógica en un contexto político diferente.

La diferencia es que WeChat nunca ha afirmado explícitamente en su interfaz principal que cuente con «cifrado de extremo a extremo», mientras que X Chat sí lo hace. En la percepción de los usuarios, el «cifrado de extremo a extremo» significa que nadie, ni siquiera la plataforma, puede ver tus mensajes. El diseño arquitectónico de X Chat no cumple con esta expectativa de los usuarios, pero utiliza este término.

X Chat concentra en manos de una sola empresa la información relativa a «quién es esta persona, con quién habla y de dónde procede y a dónde va su dinero».

La frase de la página de ayuda nunca ha sido solo una serie de instrucciones técnicas.

Gavin Newsom, el gobernador de California, ha firmado una orden ejecutiva que busca restringir el uso de información…