Ripple lanzó privacidad de conocimiento cero para activos tokenizados en el XRP Ledger. La función cifra saldos y montos de transferencia mientras mantiene las cuentas visibles, un diseño que la separa de todas las monedas de privacidad en el mercado y plantea una pregunta que los reguladores aún no han respondido.
Resumen
- La versión 3.3.0 del XRP Ledger, publicada el 6 de agosto de 2026, incluye la enmienda Confidential MPT (XLS-0096), que utiliza cifrado EC-ElGamal, compromisos de Pedersen y pruebas de rango Bulletproof para ocultar los saldos de los Multi-Purpose Tokens y los montos de transferencia, manteniendo al mismo tiempo las cuentas del remitente y del destinatario completamente visibles en el libro mayor público.
- La enmienda se encuentra junto a otras cuatro propuestas en la misma versión: BatchV1_1 para transacciones atómicas multi-cuenta, Sponsor para delegación de tarifas por terceros, DynamicMPT para propiedades de token mutables y Permission Delegation para acceso granular a cuentas, lo que representa colectivamente la mayor expansión de protocolo en la historia de XRPL.
- Más de $530 millones en activos del mundo real tokenizados ya viven en el libro mayor, emitidos por empresas como Ondo Finance ($212.6 millones), VERT Capital ($116.1 millones) y Archax ($55.4 millones), todas las cuales podrían optar por saldos cifrados una vez que los validadores activen la enmienda.
- Un concurso de seguridad de Sherlock por $550,000 identificó 96 vulnerabilidades en las cinco enmiendas antes de que cualquier código llegara a la red principal, incluidos dos fallos críticos: una omisión de validación de firma en Batch que habría permitido transacciones no autorizadas, y un error en Permission Delegation que permitía el drenaje silencioso de saldos mediante cargos de tarifas repetidos.
- La activación requiere al menos un 80 por ciento de apoyo de los validadores de confianza, mantenido continuamente durante dos semanas, lo que significa que el código está activo en el software pero aún no se aplica en la red.
Ripple ha pasado la mayor parte de 2026 construyendo infraestructura que las principales instituciones financieras están dispuestas a tocar. JPMorgan liquidó un canje de bonos del Tesoro tokenizado en el XRP Ledger en menos de cinco segundos. Deutsche Bank profundizó su integración con Ripple Payments. SBI lanzó RLUSD, la stablecoin de Ripple vinculada al dólar, en Japón después de obtener la aprobación regulatoria. La stablecoin en sí ha crecido hasta una capitalización de mercado de $1.6 mil millones, convirtiéndose en la tercera stablecoin regulada en dólares más grande de los Estados Unidos.
Ninguno de esos hitos resolvió un problema que los tesoreros institucionales y los oficiales de cumplimiento siguen planteando: cada saldo de token y cada monto de transferencia en el XRP Ledger es visible para cualquiera con un explorador de bloques. Para un banco que mueve $50 millones en bonos tokenizados, esa transparencia no es una característica. Es una responsabilidad competitiva.
La versión 3.3.0 del XRP Ledger es la respuesta de Ripple. Incluye cinco enmiendas en un solo paquete, pero la más importante para la adopción institucional es Confidential MPT, una capa criptográfica que cifra los saldos de tokens y los tamaños de transferencia mientras preserva la naturaleza pública y auditable del libro mayor en sí. Lo que hace inusual a este diseño no es solo la privacidad que ofrece, sino la privacidad que deliberadamente retiene.
Qué hace realmente Confidential MPT
La enmienda Confidential MPT, especificada formalmente como XLS-0096, reemplaza los saldos de Multi-Purpose Tokens por cuenta en texto plano con textos cifrados EC-ElGamal. Cuando un usuario envía tokens, el monto de la transferencia se cifra en la cadena, y tanto el saldo del remitente como el del destinatario se actualizan como valores cifrados que no pueden ser leídos por terceros que escanean el libro mayor.
Los validadores no necesitan descifrar nada para confirmar que una transacción es válida. En cambio, el protocolo se basa en un sistema de prueba de conocimiento cero en capas. Cada transferencia confidencial incluye una prueba sigma compacta que vincula todos los textos cifrados ElGamal bajo un único desafío Fiat-Shamir, un par de compromisos de Pedersen que codifican el monto de la transferencia y el saldo restante, y una prueba de rango Bulletproof agregada que confirma que ningún saldo se ha vuelto negativo y que el suministro total permanece intacto.
La carga criptográfica no es trivial. Un artículo de investigación de Ripple escrito por Murat Cenk, Aanchal Malhotra y Joseph Ayo Akinyele, publicado a través de la Asociación Internacional de Investigación Criptológica (IACR) en 2026, detalla los fundamentos matemáticos. El sistema incluye una prueba de vinculación que une el texto cifrado ElGamal utilizado para la transferencia con el compromiso de Pedersen utilizado para la prueba de rango, evitando una clase de ataques donde un remitente malicioso podría presentar pruebas válidas para un monto diferente al realmente transferido.
El sistema de prueba está diseñado para prevenir dos vectores de ataque específicos que afectan a los esquemas de transacciones confidenciales más simples. Primero, sin la prueba de vinculación, un remitente podría generar una prueba de rango válida para un monto mientras que el cifrado ElGamal en realidad cifra un monto diferente, creando efectivamente tokens de la nada. Segundo, el protocolo requiere una prueba de conocimiento durante el registro de la cuenta para prevenir ataques de clave maliciosa, donde una parte maliciosa registra una clave pública derivada de la clave de otro usuario para manipular cifrados agregados.
Los validadores procesan estas pruebas sin aprender nada sobre los valores subyacentes. El costo de verificación es logarítmico en el tamaño del rango gracias a Bulletproofs, manteniendo la validación de transacciones eficiente incluso cuando la carga útil de la prueba crece. Según el artículo de IACR, una sola prueba de transferencia confidencial agrega aproximadamente 1.5 kilobytes a la transacción, una sobrecarga manejable para un libro mayor que ya maneja miles de transacciones por segundo.
Críticamente, la enmienda es opcional a nivel del emisor. Un emisor de tokens que crea un nuevo MPT puede elegir si los saldos y las transferencias deben ser confidenciales. Los emisores que optan por participar conservan la capacidad de designar partes autorizadas, como auditores, reguladores o oficiales de cumplimiento, que pueden descifrar y verificar los montos subyacentes. Los controles de congelación y recuperación, los mismos mecanismos que los emisores ya usan para los MPT estándar, siguen siendo totalmente funcionales.
Lo que permanece visible es igualmente importante. Las direcciones de cuenta del remitente y del receptor son públicas. El tipo de token que se transfiere es público. El hecho de que ocurrió una transacción es público. Solo el monto y los saldos resultantes están ocultos.
Cómo esto difiere de Monero y Zcash
La comparación con las criptomonedas de privacidad es inevitable, pero la arquitectura es fundamentalmente diferente en formas que importan tanto para los reguladores como para los usuarios.
Monero trata la privacidad como un valor predeterminado que no se puede desactivar. Cada transacción oculta al remitente, receptor y monto utilizando firmas de anillo, direcciones furtivas y RingCT. Después de la actualización FCMP++ a principios de 2026, rastrear una transacción de Monero requiere analizar todo el conjunto de salidas no gastadas, más de 1.8 millones de salidas, lo que lo hace computacionalmente inviable. Ninguna firma de análisis de blockchain ha mostrado públicamente un rastreo confiable de XMR a escala desde esa actualización.
Zcash ofrece privacidad como una opción a través de zk-SNARKs, pero la adopción ha sido desigual. El uso de transacciones protegidas alcanzó un máximo histórico del 59.3 por ciento en febrero de 2026, lo que significa que aproximadamente el 40 por ciento de las transacciones ZEC permanecen completamente transparentes. La red oculta al remitente, receptor y monto en transferencias protegidas a protegidas, pero la naturaleza opcional crea un problema de fuga de metadatos: el acto de elegir privacidad puede ser informativo en sí mismo.
El MPT Confidencial de XRPL ocupa una tercera categoría por completo. La privacidad no es obligatoria ni seleccionada por el usuario. Es controlada por el emisor. El creador del token decide en la emisión si los saldos están cifrados, y esa decisión se aplica uniformemente a todos los tenedores de ese token. Los usuarios individuales no pueden optar por participar o no. Esto significa que el modelo de privacidad está determinado por la entidad con la obligación de cumplimiento, no por la entidad con la preferencia de privacidad.
El alcance del ocultamiento también es más limitado. Monero y Zcash ocultan quién está transaccionando. El MPT Confidencial no. Las direcciones de cuenta permanecen visibles en cada transacción, preservando la capacidad de mapear flujos de transacciones incluso cuando los montos están ocultos. Para una firma de análisis o un regulador, esta es una distinción significativa: pueden ver que la Cuenta A envió tokens a la Cuenta B, simplemente no pueden ver cuántos.
Tarifas patrocinadas y el problema de incorporación empresarial
La enmienda del MPT Confidencial acapara los titulares, pero la enmienda del Patrocinador (XLS-68) puede tener un impacto más inmediato en la adopción. Aborda un punto de fricción que ha bloqueado el despliegue empresarial en cada blockchain basada en cuentas: el requisito de que los usuarios finales posean el token nativo antes de poder hacer cualquier cosa.
En el XRP Ledger actual, cada cuenta debe mantener una reserva mínima de XRP y pagar tarifas de transacción en XRP. Para un banco que incorpora a miles de clientes a un fondo del mercado monetario tokenizado, esto significa distribuir XRP a cada participante o construir una capa de custodia que abstraiga el requisito. Ambos enfoques agregan costo, complejidad y superficie regulatoria.
La enmienda del patrocinador permite que un tercero, ya sea un banco, un emisor o un operador de plataforma, cubra las tarifas de transacción y los requisitos de reserva en nombre de sus usuarios. Los patrocinadores pueden co-firmar transacciones individuales o prefinanciar un fondo de patrocinio que cubra los costos automáticamente. Los usuarios mantienen el control total de sus cuentas y claves privadas en todo momento.
El diseño es sencillo. Un patrocinador incluye una firma en la transacción del usuario indicando su disposición a pagar. La red cobra la tarifa a la cuenta del patrocinador y, si la transacción crea nuevos objetos en la cadena, aplica el requisito de reserva al saldo del patrocinador. Los usuarios pueden realizar transacciones con cero XRP en sus billeteras.
Para la tokenización institucional, esto cambia significativamente el cálculo de implementación. Un administrador de fondos que emite acciones tokenizadas en el XRP Ledger ahora puede garantizar que los inversores nunca necesiten interactuar con un intercambio de criptomonedas, nunca necesiten adquirir XRP y nunca necesiten entender la mecánica del gas. Toda la capa de tarifas se vuelve invisible, manejada por el emisor como un costo de hacer negocios, de la misma manera que las corredurías tradicionales absorben los costos de liquidación.
Combinado con MPT Confidencial, el panorama se vuelve más claro. Una institución puede emitir un token donde los saldos están cifrados, las transferencias son privadas y los usuarios nunca tocan XRP. El libro mayor maneja la liquidación, la criptografía maneja la privacidad y el patrocinador maneja las tarifas.
Esta combinación aborda una queja que ha resonado en cada piloto institucional de blockchain desde 2017: las cadenas públicas exponen demasiado, y las cadenas privadas sacrifican la interoperabilidad. El enfoque de XRPL logra el equilibrio manteniendo la cadena pública y sin permisos, mientras hace que ciertas clases de activos sean opacas a discreción del emisor. Si este modelo híbrido satisface a los equipos de cumplimiento de empresas como BlackRock y BNY Mellon, ambas ya trabajan con Ripple a través de asociaciones de RLUSD, queda por verse.
Transacciones por lotes y liquidación atómica
La enmienda BatchV1_1 completa el kit de herramientas institucional al permitir que hasta ocho transacciones de diferentes cuentas se ejecuten atómicamente dentro de un solo cierre de libro mayor. Cada transacción en el lote tiene éxito o todo el grupo falla.
Esta es una versión corregida de una implementación anterior de Batch que se deshabilitó después de que la auditoría de seguridad de Sherlock encontrara 96 vulnerabilidades en las cinco enmiendas propuestas. El código original de Batch contenía una falla crítica de validación de firmas que podría haber permitido a los atacantes ejecutar transacciones desde cualquier cuenta sin tener su clave privada. La versión reescrita, designada V1_1, aborda este y otros problemas identificados durante el concurso de seguridad comunitario de $550,000.
El procesamiento por lotes atómico es importante para las finanzas reguladas porque permite la entrega contra pago, el intercambio simultáneo de un valor por efectivo que reduce el riesgo de contraparte. En los rieles tradicionales, esta coordinación requiere intermediarios, cámaras de compensación y ventanas de liquidación medidas en días. En un libro mayor con lotes atómicos, el intercambio ocurre en una sola operación: el pago del comprador y la entrega del vendedor o ambos se completan o ninguno lo hace.
Los $530 millones ya en el libro mayor
Estas enmiendas no se están construyendo para un futuro hipotético. El XRP Ledger ya alberga aproximadamente $1.38 mil millones en activos del mundo real tokenizados. Excluyendo la contribución de $845.7 millones de RLUSD, más de $530 millones en otros activos tokenizados se encuentran en el libro mayor hoy, emitidos por empresas que tienen un interés comercial directo en la privacidad de los saldos.
Ondo Finance lidera con $212.6 millones en productos tokenizados, seguido por VERT Capital con $116.1 millones y Archax con $55.4 millones. Estos no son implementaciones experimentales. Ondo es uno de los mayores emisores de Tesorería tokenizada en la industria. Archax es un intercambio de activos digitales regulado por la FCA con sede en Londres. Su presencia en el XRP Ledger representa capital real con requisitos de cumplimiento reales.
Para estos emisores, la transparencia actual de los saldos MPT crea un problema que crece con la escala. Cuando un solo fondo mantiene 200 millones de dólares en Tesoros tokenizados, cada suscripción, reembolso y reequilibrio es visible para competidores, front-runners y el público. MPT confidencial brinda a los emisores la opción de cifrar esos movimientos mientras conservan la capacidad de compartir datos descifrados con auditores autorizados.
La versión 1 de la enmienda solo admite pagos MPT directos entre cuentas. Las operaciones en intercambios descentralizados, acuerdos de custodia y canales de pago quedan excluidos del alcance inicial. Esto significa que la privacidad, por ahora, se aplica a transferencias bilaterales, no a operaciones en cadena.
La cuestión regulatoria: ¿la privacidad ayuda o perjudica?
Ripple ha construido una de las asociaciones institucionales más sólidas de la industria, incluidas relaciones con JPMorgan, Deutsche Bank y SBI. La empresa posee una autorización MiCA completa a través de la CSSF de Luxemburgo, lo que abre el acceso regulado en los 30 países del Espacio Económico Europeo. En Estados Unidos, Ripple recibió la aprobación condicional de la OCC para un banco fiduciario nacional en diciembre de 2025 y solicitó una cuenta maestra en la Reserva Federal.
Agregar funciones de privacidad a un libro de contabilidad tan integrado en el sistema financiero regulado es un movimiento calculado. El momento coincide con dos desarrollos regulatorios que tiran en direcciones opuestas.
La Ley de Claridad del Mercado de Activos Digitales, que clasificaría a XRP como una mercancía digital bajo la jurisdicción de la CFTC, está programada para una votación de procedimiento en el Senado el 15 de septiembre de 2026, después de retrasos causados por desacuerdos partidistas sobre reglas de ética. Una clasificación conjunta SEC-CFTC de marzo de 2026 ya nombró a XRP entre 16 activos clasificados como mercancías digitales, pero la codificación estatutaria proporcionaría una mayor certeza legal. La Ley de Claridad no aborda específicamente las funciones de privacidad en libros de contabilidad clasificados como mercancías, dejando un vacío interpretativo.
En Europa, la licencia MiCA de Ripple no cubre explícitamente tokens con privacidad mejorada. Los requisitos de la regla de viaje de MiCA exigen que la información de transferencia, incluidos remitente, receptor y monto, acompañe a las transacciones de criptoactivos por encima de ciertos umbrales. El diseño de MPT confidencial, donde los montos están cifrados pero las partes designadas por el emisor pueden descifrarlos, puede cumplir este requisito si el emisor otorga acceso a la unidad de inteligencia financiera correspondiente. Pero esa interpretación no ha sido probada.
El Reglamento de la Unión Europea contra el Blanqueo de Capitales (AMLR) añade otra capa. El reglamento, que restringirá las monedas de privacidad en los intercambios autorizados para julio de 2027, se dirige a activos donde la información del remitente, receptor o monto no puede ser obtenida por las autoridades. El modelo de divulgación controlada por el emisor de XRPL puede quedar fuera de esta definición, ya que las partes autorizadas siempre pueden acceder a los datos subyacentes, pero el texto regulatorio no se ha aplicado a tokens confidenciales controlados por el emisor.
Un informe del Tesoro de EE. UU. de marzo de 2026 respaldó explícitamente los casos de uso legítimos de privacidad en blockchain, reconociendo que la confidencialidad comercial y la privacidad financiera son objetivos válidos. Este informe es citado con frecuencia por el equipo regulatorio de Ripple como evidencia de que las funciones de privacidad, cuando se diseñan con controles de cumplimiento, no son inherentemente sospechosas.
El caso opuesto: por qué MPT confidencial puede no importar
El argumento más fuerte contra la importancia de MPT confidencial es la adopción. La función es opcional a nivel del emisor, y los emisores no enfrentan ninguna penalización por ignorarla. Si Ondo Finance, VERT Capital y Archax deciden no habilitar el cifrado en sus tokens existentes, la enmienda se convierte en código muerto en el libro de contabilidad.
Hay razones por las que podrían dudar. Los saldos cifrados añaden sobrecarga computacional a cada transacción, aumentando la carga de generación de pruebas en los clientes que envían. Los equipos de cumplimiento en emisores regulados pueden preferir la simplicidad de los saldos transparentes, donde los auditores pueden verificar las tenencias escaneando el libro de contabilidad, sobre un sistema que requiere gestión de claves y flujos de descifrado autorizados.
La privacidad que ofrece esta enmienda también es parcial. Las direcciones de las cuentas siguen siendo visibles, lo que significa que los gráficos de transacciones, los patrones de quién transacciona con quién, están completamente expuestos. Para las empresas de análisis sofisticadas, las transacciones con montos ocultos pero gráficos visibles aún pueden revelar información significativa mediante análisis de frecuencia, correlación temporal y mapeo de direcciones conocidas. Un competidor que monitoree la actividad en cadena de un emisor podría inferir volúmenes aproximados solo a partir del número de transacciones.
La limitación de alcance de la Versión 1, que excluye operaciones de DEX, custodia y canales de pago, reduce aún más la utilidad práctica. Los flujos de trabajo institucionales que implican negociación en el mercado secundario tendrían que recurrir al modo transparente para cualquier actividad de intercambio en cadena, creando un sistema de visibilidad de dos niveles que puede confundir más de lo que oculta.
También hay un ángulo competitivo. Ethereum, Polygon y Avalanche ofrecen soluciones de transacciones confidenciales a través de protocolos de terceros como Railgun y Aztec. Estas soluciones operan en la capa de aplicación, lo que significa que cualquier token en esas redes puede enrutarse a través de un grupo de privacidad sin permiso del emisor. Para las instituciones que desean privacidad compatible con las regulaciones, este enfoque sin permiso es una responsabilidad. Pero para las instituciones que simplemente quieren mover activos sin transmitir posiciones, la privacidad a nivel de aplicación en una cadena más líquida puede ser suficiente, y no requiere esperar una votación de validadores.
Los criterios de invalidación para el caso alcista son claros. Si menos de tres de los diez principales emisores de activos XRPL habilitan MPT Confidencial dentro de los seis meses posteriores a la activación, la función ha fallado su prueba de mercado. Si los validadores rechazan la enmienda por completo, sin alcanzar el 80 por ciento de apoyo, la tesis de privacidad para XRPL se archiva indefinidamente. Y si las agencias de aplicación de MiCA dictaminan que el cifrado controlado por el emisor no satisface los requisitos de la regla de viaje, los emisores europeos, el segmento de más rápido crecimiento del mercado de RWA de XRPL, no pueden usar la función en absoluto.
Lo que nos dicen las cuentas activas y la demanda de XRP
El contexto más amplio para estas enmiendas es un libro mayor en busca de actividad renovada. Las cuentas activas de XRPL cayeron un 51 por ciento en 2026, disminuyendo de 15,571 el 1 de enero a 7,630 el 20 de julio. XRP cotiza cerca de $1.00, un 65 por ciento menos que su máximo de enero de $3.40. Las entradas netas semanales en los ETF de XRP al contado de EE. UU. se desplomaron un 93 por ciento en la semana que terminó el 8 de agosto, cayendo de $14.86 millones a solo $1.01 millones.
Ripple continúa liberando 1 billón de XRP de custodia mensualmente, volviendo a poner en custodia entre 600 y 800 millones y permitiendo que entre 200 y 400 millones de XRP entren en circulación. Este calendario de suministro significa que la custodia libera tokens de dos a cuatro veces más rápido de lo que todo el complejo de ETF los absorbe.
La enmienda del Patrocinador tiene una relación directa con esta dinámica. Al eliminar el requisito de que los usuarios finales posean XRP, potencialmente reduce la demanda orgánica del token. Los usuarios de cuentas patrocinadas interactúan con el libro mayor sin adquirir XRP. Las tarifas de red todavía se pagan en XRP, pero fluyen de las tenencias del patrocinador, concentrando la demanda entre un conjunto más pequeño de patrocinadores institucionales.
Para XRP como activo de inversión, la combinación de características de privacidad y tarifas patrocinadas crea una paradoja. Las enmiendas hacen que el libro mayor sea más útil para las instituciones, pero no necesariamente hacen que XRP sea más valioso. La actividad institucional se liquida a través de RLUSD, no de XRP. Las tarifas las pagan los patrocinadores, no los tenedores minoristas. Y las características de privacidad se aplican a los MPT, no al XRP en sí, que sigue siendo completamente transparente.
El camino más directo para la recuperación del precio de XRP, como ha señalado la propia comunidad de Ripple, sería exigir que las transacciones de RLUSD se liquiden a través de XRP como activo puente. No existe tal requisito en el protocolo actual.
Qué observar
– Umbral de votación de validadores: la enmienda MPT Confidencial necesita el 80 por ciento de apoyo de los validadores de confianza, sostenido durante dos semanas consecutivas, antes de la activación. Siga el recuento de votos de la enmienda en xrpl.org una vez que se abra la ventana de dos semanas.
– Tasa de adopción de emisores: si Ondo Finance, VERT Capital y Archax habilitan saldos cifrados en emisiones de tokens existentes o nuevas dentro del primer trimestre después de la activación, indica una demanda real de privacidad en cadena.
– Guía de aplicación de MiCA: la interpretación de la Autoridad Bancaria Europea sobre si los montos cifrados controlados por el emisor satisfacen las obligaciones de la regla de viaje determinará si los emisores europeos pueden usar MPT Confidencial en absoluto.
– Votación en el pleno de la Ley de Claridad: la votación de procedimiento en el Senado programada para el 15 de septiembre de 2026 codificará la clasificación de XRP como mercancía o dejará su estado regulatorio dependiente de la guía del poder ejecutivo que podría cambiar con las administraciones.
– Adopción de cuentas patrocinadas: el número de cuentas que operan bajo patrocinio de tarifas de terceros indicará si la enmienda del Patrocinador logra reducir las barreras de incorporación para despliegues institucionales.
