Seguridad

Seguridad de la plataforma y de los contratos inteligentes

Libertum protege T-Suite por capas: pruebas independientes de Hashlock, cumplimiento aplicado on-chain por los estándares de token que emite, custodian wallets gestionadas por la plataforma con claves cifradas y retiros protegidos, y acceso a la plataforma basado en roles. Esta página explica qué se ha probado, cómo y cuáles son los límites de esas garantías.

Última actualización:

Esta página describe a alto nivel los controles de seguridad de Libertum. Las auditorías y las pruebas de penetración son evaluaciones puntuales del alcance indicado en cada informe; no garantizan que un sistema esté libre de vulnerabilidades. Nada de lo aquí expuesto constituye asesoramiento de inversión ni legal.

¿Se ha probado Libertum de forma independiente?

En octubre de 2025, Hashlock realizó una prueba de penetración blackbox independiente de las aplicaciones web de T-Suite — los portales de administración, inversor, emisor y agente de transferencias, probados en el entorno sandbox de Libertum —, la cuarta prueba de penetración que Hashlock realiza para Libertum. Calificación de seguridad: «Secure», con ningún hallazgo de severidad crítica o alta; 2 de severidad media, 1 baja y 1 de QA, todos resueltos o reconocidos. Consulte el informe de la prueba de penetración. Hashlock también ha auditado los contratos inteligentes de Libertum: consulte el informe de auditoría de contratos inteligentes y el informe de auditoría de los contratos de bonding, publicados en la página de auditorías de Hashlock.

Cada informe cubre el alcance y el momento que indica. Publicamos los informes para que usted pueda consultar el alcance y los hallazgos por sí mismo.

¿Cómo aplican el cumplimiento los contratos inteligentes de Libertum?

En los estándares que lo permiten, el cumplimiento lo aplica on-chain el propio token, no solo la plataforma. Consulte los estándares de token y el cumplimiento.

  • ERC-3643 (T-REX) en redes EVM: un token solo se mueve entre wallets cuyos titulares tienen una identidad on-chain verificada en el Identity Registry del token, y solo cuando todas las reglas de cumplimiento lo permiten. Los gateways permisionados hacen que solo firmantes autorizados puedan desplegar suites de tokens e identidades.
  • CIP-113 en Cardano: tokens programables cuyas reglas de transferencia se aplican mediante scripts on-chain. Libertum funciona sobre el núcleo canónico CIP-113 de la Cardano Foundation (v0.0.1), disponible en mainnet desde el 5 de octubre de 2026, y añade sus propios módulos de cumplimiento on-chain.
  • XRP Ledger: en las monedas emitidas, la trust line de un titular debe autorizarse antes de que pueda recibir el token; los MPT XLS-33 usan titulares autorizados por el emisor. Las credenciales y un Permissioned Domain limitan la negociación secundaria a titulares con credencial.
  • Acciones de cumplimiento controladas por el emisor según el estándar: congelación, descongelación, transferencia forzada y recuperación en ERC-3643; congelación, incautación y transferencia forzada en CIP-113; clawback en las monedas emitidas de XRPL.
  • Contratos verificados: los contratos EVM desplegados están verificados en exploradores de bloques, de modo que cualquiera puede leer el código fuente que ejecutan.

ERC-20, ERC-721, CIP-20 y las monedas emitidas simples de XRPL no aplican el cumplimiento en el propio token; Libertum los controla a nivel del marketplace.

¿Cómo se protegen las custodian wallets?

T-Suite incluye custodian wallets gestionadas por la plataforma para inversores y emisores, para que puedan mantener y mover activos sin operar un software de wallet propio.

  • La clave privada de cada custodian wallet se cifra de forma individual con AES-256-GCM.
  • Una pausa de firma en toda la plataforma puede detener todas las firmas a la vez, y cada wallet puede bloquearse para que no firme.
  • Cada operación de firma iniciada por la plataforma queda registrada en un registro de auditoría.
  • Cada retiro debe confirmarse con un código de un solo uso, enviado por correo para ese retiro o generado por la app de autenticación del usuario (o un código de respaldo).
  • Las comisiones de red del inversor se patrocinan al pagar desde el saldo custodiado y se facturan al emisor de la oferta, de modo que el inversor no necesita tener tokens de gas para invertir.

¿Cómo se controla el acceso a la plataforma?

  • Permisos basados en roles por organización: un propietario, administradores y roles personalizados deciden quién puede ver y hacer qué.
  • Inicio de sesión con dos factores mediante una app de autenticación y códigos de respaldo.
  • Caducidad automática de la sesión tras un periodo de inactividad.
  • Solicitudes firmadas: las llamadas entre servicios y a la API de administración se firman con HMAC.
  • Protección perimetral de la plataforma mediante Cloudflare.
  • Monitorización de errores que elimina credenciales y datos personales de los informes de error antes de almacenarlos.

¿Cómo se protegen los datos de los inversores?

  • La verificación de identidad (KYC y KYB) se realiza a través de SumSub, un proveedor especializado en verificación de identidad.
  • Libertum nunca vende los datos de los inversores.
  • Cómo se recogen, usan y conservan los datos personales se explica en nuestra política de privacidad y nuestra política de cookies.

¿Libertum está regulada?

Libertum opera a través de entidades reguladas. Libertum, S.A. de C.V. está inscrita ante la CNAD de El Salvador como Proveedor de Servicios de Activos Digitales (asiento registral PSAD-0094) para la custodia, el intercambio y la transferencia de USDT y USDC y la recepción y transmisión de órdenes de clientes, con la custodia de RLUSD aprobada. Es una entidad supervisada por la CNAD y la inscripción cubre estos servicios en El Salvador; no cubre la custodia de security tokens ni autoriza la emisión. Libertum LLC está registrada ante FinCEN como Money Services Business. Consulte las licencias.

¿Cuáles son los límites de estas garantías?

  • Libertum no cuenta actualmente con una certificación SOC 2 ni ISO 27001.
  • Las auditorías y las pruebas de penetración son puntuales: cubren el alcance y la fecha que indica cada informe.
  • La prueba de penetración cubrió las aplicaciones web de T-Suite; no es una evaluación de todos los sistemas que utiliza Libertum.

¿Cómo informo de una vulnerabilidad?

  1. 01

    Escríbanos

    Escriba a [email protected] con el asunto «Security» e incluya lo que ha encontrado y cómo reproducirlo.

  2. 02

    Denos tiempo para corregirlo

    Le pedimos que nos conceda un plazo razonable para investigar y corregir el problema antes de divulgarlo públicamente.

  3. 03

    Pruebe de forma responsable

    No realice pruebas que perjudiquen a los usuarios, accedan a datos de otras personas o los modifiquen, o degraden el servicio. Actualmente no tenemos un programa de recompensas (bug bounty) remunerado.

Relacionado

Preguntas frecuentes

¿Se han realizado pruebas de penetración a Libertum?

Sí. En octubre de 2025, Hashlock realizó una prueba de penetración blackbox independiente de las aplicaciones web de T-Suite (portales de administración, inversor, emisor y agente de transferencias), con calificación «Secure» y ningún hallazgo de severidad crítica o alta; 2 de severidad media, 1 baja y 1 de QA, todos resueltos o reconocidos. Es la cuarta prueba de penetración que Hashlock realiza para Libertum. Consulte el informe.

¿Están auditados los contratos inteligentes de Libertum?

Sí. Hashlock ha auditado los contratos inteligentes de Libertum: consulte el informe de auditoría de contratos inteligentes y el informe de auditoría de los contratos de bonding, publicados en la página de auditorías de Hashlock.

¿Cómo se protegen las wallets de los inversores?

La clave privada de cada custodian wallet se cifra de forma individual con AES-256-GCM. La plataforma puede pausar todas las firmas o bloquear una wallet concreta, cada operación de firma iniciada por la plataforma queda registrada en un registro de auditoría, y cada retiro se confirma con un código de un solo uso, enviado por correo para ese retiro o generado por la app de autenticación del usuario.

¿Paga el inversor comisiones de red?

No al pagar desde su saldo custodiado: en ese caso las comisiones de red se patrocinan y se facturan al emisor de la oferta.

¿Cómo informo de una vulnerabilidad?

Escriba a [email protected] con el asunto «Security». Le pedimos que nos conceda un plazo razonable para corregir el problema antes de divulgarlo y que no realice pruebas que perjudiquen a los usuarios, a sus datos o al servicio.

¿Libertum está regulada?

Libertum, S.A. de C.V. es un Proveedor de Servicios de Activos Digitales inscrito y supervisado por la CNAD en El Salvador (PSAD-0094) para los servicios indicados en nuestra página de licencias, que presta en El Salvador. Libertum LLC está registrada ante FinCEN como Money Services Business. Estas inscripciones no autorizan a Libertum a emitir valores.

¿Tiene Libertum la certificación SOC 2 o ISO 27001?

Libertum no cuenta actualmente con una certificación SOC 2 ni ISO 27001. Su garantía independiente procede hoy de las pruebas y auditorías de Hashlock descritas en esta página.

Fuentes

Última comprobación:

  1. Documentación de Libertum: Estándares de token — Identity registry y roles de agente de ERC-3643; núcleo canónico de CIP-113; autorización en XRPL
  2. Documentación de Libertum: Custodian Wallet — Custodian wallets y gas patrocinado al pagar desde el saldo custodiado
  3. Documentación de Libertum: Licencias — Alcance y límites de la inscripción PSAD-0094
  4. Hashlock: auditorías de Libertum — Auditorías y pruebas de Hashlock para Libertum
  5. Hashlock: informe de la prueba de penetración blackbox — Prueba de octubre de 2025; aplicaciones web de T-Suite; calificación «Secure»
  6. Hashlock: auditoría de contratos inteligentes de Libertum
  7. Hashlock: auditoría de los contratos de bonding de Libertum

¿Tiene preguntas sobre seguridad?

Hable con nuestro equipo sobre cómo T-Suite protege su oferta, a sus inversores y sus activos.

Ver nuestras licencias