En el borrador de la versión integrada del proyecto de ley “CLARITY” publicado por Lummis el 22 de julio de 2026, surgió una disposición de ciberseguridad que antes había pasado desapercibida: propone establecer un programa de recompensas para white-hat mediante un “mecanismo de coordinación de la ciberseguridad de activos digitales”. No se trata de alentar a los “cazadores de recompensas” que irrumpen a la descontrolada en sistemas, sino de plasmar por primera vez en el texto de la ley federal estadounidense que regula la estructura del mercado cripto el mecanismo maduro de Web2 de divulgación de vulnerabilidades (bug bounty).

La lógica de la cláusula es muy clara: los investigadores de seguridad, a través de canales autorizados, descubren y divulgan de manera responsable (responsible disclosure) vulnerabilidades en bolsas, sistemas de custodia, carteras, contratos inteligentes, puentes entre cadenas, infraestructura de compensación y liquidación, y gestión de llaves privadas. Tras la verificación y dejar un periodo suficiente para la reparación, pueden recibir recompensas, y además se delimitan de forma explícita los marcos legales entre “investigación de seguridad” y “intrusión maliciosa”. El planteamiento bebe de la postura del ex presidente de la CFTC, Giancarlo, de que “la resiliencia del mercado proviene de la divulgación transparente”. La protección al consumidor da un paso más: de “evitar que las plataformas desvíen los activos de los clientes” a “evitar que fallos de los sistemas borren de una noche los activos del cliente”.

¿Por qué se introduce en este momento? Quiebras al estilo FTX y Celsius expusieron el “pozo” de la confusión de libros; y en el último año, los robos a gran escala mediante puentes y contratos de custodia de a menudo varios cientos de millones demostraron que no basta con que las empresas, por iniciativa propia, establezcan recompensas. El borrador agrupa la segregación de activos del cliente, el aislamiento frente a la quiebra, la prohibición del desvío y los incentivos a los white-hat, lo que equivale a añadir una barrera técnica de “protección al consumidor” antes del daño.

Pero la implementación aún deja zonas grises: el fondo de premios lo determinan las reglas de la CFTC/SEC, ¿o lo comparten las bolsas? Tampoco se detallan el alcance de exoneración, los estándares de divulgación ni los escalones de recompensas; además, todo el proyecto de ley sigue atascado en el umbral de 60 votos en el Senado. Si antes del receso de agosto no se logra superar el trámite, la cláusula para white-hat también podría recortarse en modificaciones durante el debate en sala.

Si finalmente se convierte en ley, su significado va más allá de “ganar dinero legalmente pirateando”: marca el paso de la regulación cripto de EE. UU. de “perseguir a estafadores después” a “comprar vulnerabilidades antes”. También se reevaluará el papel de las firmas de auditoría, las aseguradoras y los custodios con enfoque de cumplimiento.