Consenso Federado Bizantino y el UNL de XRPL: Cómo Funciona la Confianza sin Minería

El mecanismo de consenso es el corazón técnico de cualquier red blockchain. En Bitcoin, ese corazón late a través de la Prueba de Trabajo: miles de máquinas compitiendo para resolver puzzles criptográficos, consumiendo en torno a 100 teravatios-hora anuales según el índice de Cambridge. En el XRP Ledger, el mismo problema —llegar a un acuerdo sobre el estado válido de la red— se resuelve de forma radicalmente diferente: 35 validadores independientes, votando en rondas de milisegundos, sin consumir casi energía. No es magia; es el Algoritmo de Consenso del Protocolo Ripple (RPCA), una implementación práctica del Acuerdo Bizantino Federado (FBA). Entender cómo funciona no es una cuestión académica: es la razón por la que XRP puede liquidar pagos en 3-5 segundos con finalidad irreversible y por qué el XRPL puede procesar 1.500 transacciones por segundo.

El problema del general traidor: por qué el consenso distribuido es difícil

El Problema de los Generales Bizantinos, formulado por Leslie Lamport, Marshall Pease y Robert Shostak en su paper de 1982, plantea un dilema clásico: un grupo de generales debe coordinarse para atacar o retirarse, comunicándose solo por mensajeros. Algunos generales pueden ser traidores. ¿Cómo garantizar que los generales leales lleguen al mismo plan si no saben quién miente?

En el mundo de las redes distribuidas, los «generales traidores» son nodos que pueden fallar, comportarse de forma maliciosa o enviar información contradictoria. El consenso bizantino exige que el sistema llegue a un acuerdo correcto incluso cuando hasta f de los n nodos participantes son defectuosos, siempre que n > 3f. Es decir: si quieres tolerar 1 nodo traidor, necesitas al menos 4 nodos en total.

Bitcoin resuelve este problema de una forma brutal pero efectiva: en lugar de que los nodos se fíen unos de otros, obliga a cada minero a invertir recursos computacionales —energía eléctrica más hardware— para proponer un bloque válido. La «prueba» de que el bloque es honesto es el coste económico de haberlo creado. Funciona, pero con una latencia de 10 minutos por bloque y un consumo energético comparable al de países como Argentina o Noruega.

Ethereum 2.0 optó por la Prueba de Participación (PoS): los validadores depositan 32 ETH como garantía económica y, si actúan de forma deshonesta, pierden ese depósito (slashing). Más eficiente en energía, pero con tiempos de finalidad de 12-15 minutos para una seguridad económica razonable.

El XRP Ledger tomó un camino diferente desde su diseño original en 2012. En lugar de requerir que todos los participantes lleguen a un acuerdo, o que exista una barrera económica de entrada, RPCA delega el consenso en un subconjunto de nodos mutuamente confiables: la Unique Node List (UNL). La pregunta es: ¿puede un sistema así ser seguro sin minería?

RPCA — Cómo funciona el consenso del XRP Ledger paso a paso

El RPCA opera en rondas de votación con umbrales crecientes. Para describir su mecánica con precisión hay que entender tres conceptos previos: el conjunto de transacciones pendientes, la propuesta del ledger, y el umbral de supermayoría. La documentación técnica de xrpl.org los describe con detalle.

El XRP Ledger mantiene un estado de todas las cuentas, balances y objetos en la red. Cada 3-5 segundos, se crea un nuevo ledger que incluye un subconjunto de las transacciones pendientes —las que están en el mempool de los nodos. El proceso para acordar qué transacciones van en ese ledger y en qué orden es exactamente lo que RPCA resuelve.

Ronda 1 — Propuesta inicial (umbral ≥50%). Los validadores recopilan las transacciones en espera y crean cada uno su propia propuesta. En la primera ronda, cada validador revisa las propuestas de sus pares en la UNL. Si una transacción aparece en más del 50% de las propuestas, el validador la incluye en su propuesta actualizada. Las transacciones que no alcanzan ese umbral son descartadas temporalmente. Este primer umbral sirve para filtrar las transacciones más controvertidas y comenzar a construir convergencia, pero no es suficiente para la finalidad definitiva.

Ronda 2 — Convergencia (umbral ≥60%). La segunda ronda aplica un umbral más estricto. Los validadores actualizan sus propuestas manteniendo solo las transacciones que al menos el 60% de los validadores de la UNL respaldan. La red comienza a converger hacia un conjunto de transacciones compartido. Las discrepancias disminuyen; los validadores se acercan a un acuerdo.

Ronda final — Supermayoría (umbral ≥80%). La ronda final exige que una transacción esté respaldada por al menos el 80% de los validadores de la UNL para ser incluida en el ledger definitivo. Cuando se alcanza esta supermayoría, el ledger se declara validado. Los validadores emiten mensajes de validación firmados criptográficamente, y el nuevo ledger es aceptado como el estado canónico de la red.

Todo este proceso —desde la propuesta inicial hasta la validación final— ocurre en 3-5 segundos. Y una vez validado, el ledger es definitivo e irreversible: no existe el concepto de «reorgs» en el XRP Ledger. Una transacción confirmada es inmutable.

El RPCA garantiza que el consenso puede continuar siempre que menos del 20% de los validadores de la UNL sean defectuosos o maliciosos. Con 35 validadores en la UNL por defecto, esto significa que hasta 7 pueden fallar simultáneamente sin que la red se detenga. Si más del 20% fallan, el protocolo se detiene en lugar de producir un ledger incorrecto —se prefiere el bloqueo a la inconsistencia, una elección deliberada para sistemas financieros.

La Unique Node List — quién elige los validadores y por qué importa

La UNL (Unique Node List) es la lista de validadores en los que un nodo confía para participar en el consenso. Técnicamente, cada nodo de la red podría tener su propia UNL. En la práctica, la mayoría de los nodos usan la UNL por defecto, publicada conjuntamente por la XRP Ledger Foundation (XRPLF) y Ripple.

A 2025, la UNL por defecto incluye 35 validadores. La composición es deliberadamente diversa en términos geográficos y por entidad: universidades, empresas de infraestructura blockchain, exchanges, proveedores de servicios financieros y organizaciones independientes. Ripple opera exactamente 1 de esos 35 validadores —un 2.9% del total— lo que significa que no puede controlar unilateralmente el consenso, ya que necesitaría el apoyo del 80% para aprobar cualquier cambio.

Entre los validadores de la UNL se encuentran entidades como Coil, GateHub, Alloy Networks, Bitso, SBI VC Trade, Cabital y la propia XRPLF, entre decenas de nodos operados por empresas de infraestructura o académicos. La lista completa está disponible en xrpscan.com.

¿Qué ocurre si un validador de la UNL queda offline durante un período prolongado? Antes de noviembre de 2021, si siete o más validadores de la UNL se caían simultáneamente, la red podía paralizarse por no alcanzar el quórum necesario. El 21 de noviembre de 2021, la enmienda NegativeUNL fue activada en el XRP Ledger tras el proceso estándar: aprobación del 80% de los validadores durante dos semanas consecutivas.

Esta feature permite que la red marque dinámicamente a los validadores que están offline como parte de una «Negative UNL», excluyéndolos temporalmente del cálculo del quórum. Si un validador muestra una fiabilidad inferior al 50%, puede ser añadido a la Negative UNL; para ser eliminado, debe demostrar una fiabilidad superior al 80%. El resultado es que la red puede continuar funcionando con normalidad aunque varios validadores caigan simultáneamente, adaptando dinámicamente su umbral al número real de validadores activos.

La regla del solapamiento — la condición matemática para la seguridad

El FBA tiene una propiedad matemática que no es evidente a primera vista: para que la red sea segura, las UNL de diferentes nodos deben solaparse suficientemente. Si el nodo A confía en los validadores {V1, V2, V3} y el nodo B confía en {V4, V5, V6}, sin ningún solapamiento, los dos nodos podrían llegar a estados completamente diferentes del ledger sin contradecirse entre sí —lo que se llama una bifurcación.

La documentación técnica de xrpl.org establece que las UNL deben tener un solapamiento superior al 90% para garantizar que la red sea totalmente consistente. Con un solapamiento entre el 60% y el 90%, existe riesgo de divergencia; por debajo del 60%, una bifurcación se vuelve probable.

El paper académico «Analysis of the XRP Ledger Consensus Protocol» (arXiv:1802.07242), de Brad Chase y Ethan MacBrough, proporciona las pruebas formales de corrección bajo las condiciones de solapamiento. La investigación de 2024 publicada en SCITEPRESS («Characterization of Consensus Correctness in Ripple Networks») confirma que con un solapamiento de UNL superior al 50% en términos del Índice de Rand, la red es segura contra el 20% de nodos maliciosos.

Este es el argumento central de los críticos del RPCA: a diferencia de PoW o PoS, la seguridad del sistema depende de que todos los participantes confíen en conjuntos de validadores similares. Si los operadores de nodos comenzaran a usar UNLs radicalmente diferentes, la red podría fragmentarse. Los defensores responden que la convergencia hacia la UNL por defecto es una norma social robusta, reforzada por la transparencia de las listas publicadas y por el incentivo económico de permanecer en la red principal.

FBA vs PoW vs PoS — una comparativa técnica honesta

Cada mecanismo de consenso refleja una filosofía diferente sobre cómo construir confianza en sistemas distribuidos. Ninguno es universalmente superior; cada uno implica compromisos específicos que lo hacen más o menos adecuado según el caso de uso.

Prueba de Trabajo (Bitcoin). El PoW tiene una seguridad extremadamente robusta contra ataques del 51%: requeriría adquirir y operar más del 50% del hashrate global, un coste de miles de millones de dólares a mediados de 2025. El precio de este nivel de seguridad es una latencia de 10 minutos por bloque y una finalidad económica que requiere 6 bloques (unos 60 minutos). El consumo energético anual es comparable al de países medianos.

Prueba de Participación (Ethereum). El PoS de Ethereum 2.0 exige 32 ETH por validador y ofrece finalidad en unos 12 minutos gracias al mecanismo de Casper FFG. El slashing —penalización económica por comportamiento deshonesto— es el mecanismo de disuasión. La descentralización es alta en número de validadores (más de 1 millón), pero la concentración de stake en plataformas como Lido o exchanges centralizados genera preocupaciones sobre el control real de la red.

Acuerdo Bizantino Federado (XRP Ledger). El RPCA no requiere inversión en hardware ni en garantías económicas para validar. Los validadores necesitan ser identificables y tener reputación: es un modelo de confianza basado en identidad, no en capital. La finalidad es en 3-5 segundos, y el consumo energético es mínimo: según Ripple, la red completa consume menos de $73.000 anuales en electricidad, frente a los más de $10.000 millones del Bitcoin. El artículo sobre ODL y pagos en tiempo real profundiza en por qué esta eficiencia es clave para los pagos institucionales.

Stellar Consensus Protocol (SCP). Stellar también implementa FBA, pero con una arquitectura más general diseñada por David Mazières en 2015. La diferencia clave con RPCA es que SCP permite que cada nodo elija sus propios «quorum slices» independientes, mientras que RPCA trabaja con UNLs que se supone deben ser similares en toda la red. SCP tiene propiedades formales más generales, pero también es más complejo de implementar y de razonar sobre su seguridad en redes grandes.

Amendments — cómo evoluciona el protocolo sin hard forks

Una característica distintiva del XRP Ledger es su mecanismo de enmiendas (amendments) para introducir cambios en el protocolo. A diferencia de Bitcoin, que requiere convencer a mineros, exchanges y usuarios para adoptar un hard fork, el XRPL permite activar nuevas funcionalidades directamente a través del consenso de validadores.

El proceso es directo: cuando una nueva enmienda es propuesta, los validadores de la UNL votan si quieren activarla. Si alcanza el 80% de aprobación durante dos semanas consecutivas, la enmienda se activa automáticamente en la red. Si no alcanza el umbral, se descarta. Los validadores que no se actualicen para soportar la enmienda quedan automáticamente fuera del consenso —un incentivo poderoso para mantener los nodos actualizados.

Este mecanismo ha sido usado para activar funcionalidades clave: el DEX nativo (existente desde 2012), las ofertas de cross-currency, los escrows, los payment channels, el Automated Market Maker (AMM, activado el 22 de marzo de 2024^[10]), y la propia Negative UNL de 2021. En 2025, el XRPL ha procesado más de 90 enmiendas desde su lanzamiento. Es, en esencia, gobernanza on-chain: las decisiones sobre el protocolo las toman directamente los validadores que aseguran la red, sin necesidad de coordinación off-chain.

El papel de los validadores en la práctica — descentralización real

Una pregunta recurrente sobre el XRPL es si, dado el papel central de la UNL, la red está realmente descentralizada o si Ripple tiene control sobre ella.

Los datos disponibles son claros: Ripple opera 1 de los 35 validadores de la UNL por defecto, menos del 3% del poder de voto. Para manipular el consenso unilateralmente necesitaría controlar más del 80% de los 35 validadores —28 nodos— lo que es imposible dado que los otros 34 son operados por entidades independientes. La diversidad geográfica también es relevante: los validadores están distribuidos en múltiples países, lo que hace logísticamente inviable un ataque coordinado.

La crítica de «descentralización formal vs real» merece atención. A diferencia de Bitcoin, donde cualquier persona con hardware puede convertirse en minero, en el XRPL solo los validadores de la UNL participan en el consenso definitivo. Cualquiera puede operar un validador, pero para que su voto cuente debe ser incluido en la UNL de la mayoría de nodos —un proceso que depende en parte de la reputación y de la decisión de la XRPLF de actualizar la lista por defecto.

La XRPLF (XRP Ledger Foundation), establecida en 2020 como organización independiente de Ripple, ha asumido un papel creciente en la publicación de la UNL. En 2025, la Foundation realizó una migración del UNL a un nuevo par de claves y una nueva URL, reduciendo la dependencia de la infraestructura de Ripple. Algo que está directamente relacionado con el estándar ISO 20022 y la adopción institucional que cubrimos en nuestra sección educativa.

Limitaciones técnicas y vectores de ataque potenciales

Ningún sistema de consenso es invulnerable, y el RPCA tiene sus puntos débiles específicos que conviene nombrar sin rodeos.

Ataque de bifurcación por UNL divergente. Si un subconjunto significativo de operadores de nodos adoptara una UNL radicalmente diferente a la estándar, podría ocurrir una bifurcación. Este riesgo es teórico pero no despreciable: en 2015, Stellar experimentó una interrupción de 67 minutos precisamente por falta de solapamiento entre los conjuntos de confianza de sus nodos.

Ataques Sybil. En PoW, un ataque Sybil —crear muchos nodos falsos— no da ventaja porque lo que importa es el hashrate, no el número de nodos. En RPCA, la resistencia depende de que la comunidad no añada a la UNL validadores no identificados o desconocidos. Los validadores de la UNL deben tener identidad pública y reputación verificable, lo que mitiga este riesgo en la práctica.

Dependencia de la coordinación social. A diferencia de PoW, donde la seguridad es matemáticamente verificable a través del hashrate, la seguridad de RPCA depende en parte de la coordinación social para mantener UNLs similares. Esto introduce un componente de gobernanza que no existe en sistemas puramente criptoeconómicos.

Throughput máximo y escalabilidad. Aunque 1.500 TPS es suficiente para la mayoría de los casos de uso actuales, es un orden de magnitud inferior a Visa (~65.000 TPS peak). El XRP Ledger compensa esto con finalidad instantánea —no necesita capa 2 para pagos definitivos— pero es un límite a considerar para casos de uso de micropagos masivos.

Conclusión

El RPCA del XRP Ledger representa una solución de ingeniería pragmática para el problema más difícil del blockchain: cómo llegar a un acuerdo en sistemas abiertos sin confiar en nadie específico. En lugar de requerir trabajo computacional o depósitos económicos, el sistema funciona a través de la confianza federada: un conjunto de validadores independientes que, por incentivos económicos y de reputación, tienen interés en comportarse honestamente.

El resultado es una red que puede liquidar transacciones en 3-5 segundos con finalidad irreversible, procesar 1.500 TPS, y operar con un consumo energético millones de veces inferior al de Bitcoin —todo sin sacrificar la inmutabilidad del ledger una vez validado.

Las limitaciones son reales: la seguridad depende del solapamiento de UNLs y de la diversidad de validadores, no de métricas criptoeconómicas verificables. Pero en el contexto específico de los pagos institucionales en tiempo real, donde los participantes son entidades conocidas con incentivos alineados hacia la estabilidad de la red, el FBA demuestra ser un compromiso inteligente entre seguridad, velocidad y eficiencia energética. La activación del AMM en 2024, el crecimiento del ecosistema de validadores independientes, y la expansión de la XRPLF como publicador de la UNL señalan una maduración progresiva del protocolo.

Preguntas frecuentes

Referencias