Meter un nombre después
No se puede sin que se note. Al sellar, la lista queda reducida a una huella de 64 caracteres. Cambiar, agregar o sacar un nombre da otra huella, y la que vale quedó anotada en el contrato antes de que existiera el número.
Seguridad
Cómo se puede romper
Un sorteo que dice ser verificable tiene que decir también dónde no llega. Esto es lo que el protocolo impide, lo que todavía no, y lo que la herramienta no puede prometer.
Elegir el número que decide
Tampoco. El número lo publica drand, un faro público de aleatoriedad que sostienen Cloudflare, Protocol Labs, la EPFL y otros, y la ronda que va a decidir se fija antes de que esa ronda exista. El contrato exige al menos treinta segundos de margen.
Retener un resultado que no gustó
Cualquiera puede finalizar un sorteo sellado: la función que registra el resultado no pide permiso a nadie. Si al organizador se le corta la luz a mitad del evento, cualquiera puede cerrarlo llamando al contrato con el número del sorteo, que va en las bases, y el ganador es el mismo.
Cambiar el contrato
El contrato es inmutable: no tiene administrador ni forma de actualizarse, y no custodia fondos. Una versión nueva es una dirección nueva, anotada en la documentación con su fecha.
El ataque que sigue abierto
selección del compromisoUn organizador puede sellar la misma lista cinco veces contra cinco rondas distintas y publicar solo el comprobante que le convino. Cada uno de esos sorteos es, por separado, perfectamente legítimo. Es la única forma conocida de torcer un sorteo de Tinkazo con la lista ya sellada, y no está cerrada.
Lo que hay contra eso: la página de verificación trae todos los sellos de esa dirección, leídos del contrato, y marca sola los que repiten la huella de la lista o la cantidad de gente. Si selló cinco, se ven las cinco. Cerrarlo del todo exigiría que el organizador anuncie el identificador del sorteo por un canal que él no controle, y eso Tinkazo no lo puede imponer.
Los límites que hay que decir
- Sin anclar en Stellar, la cuenta cierra igual, pero nadie más que el organizador atestigua que esa era la lista. La página lo dice con un veredicto amarillo en vez de un verde fácil.
- Los nombres nunca suben a la cadena, solo su huella. Eso protege a los participantes y, a la vez, hace que el comprobante dependa de que el organizador conserve la lista.
- Lo que el contrato guarda tiene alquiler: si nadie lo extiende, la entrada se archiva y deja de leerse hasta que alguien la restaure pagando. Y hoy el contrato está en testnet, que Stellar borra entera el 16 de diciembre de 2026: ahí sí se pierde el registro y el veredicto deja de ser verde.
- El sello impide cambiar la lista después, no armarla mal desde el principio: quien organiza puede meter nombres de relleno o repetidos, o dejar afuera a alguien. Por eso, antes de sellar, la lista se puede mostrar a la sala con un QR para que cada uno se busque en su celular; los repetidos salen marcados, el comprobante tiene un buscador, y la importación de Luma propone solo a los que hicieron check-in.
- Si el faro público se cayera entero y para siempre, un sorteo sellado quedaría sin número. Hay cuatro relays, tres de drand.sh y uno de Cloudflare, y se rotan hasta que uno contesta.
Si encontrás una forma de torcer un sorteo
Abrí un issue. Es el reporte que más sirve, y el proyecto es código abierto justamente para eso: el protocolo completo, el contrato y las amenazas conocidas están escritos y se pueden auditar sin pedirle permiso a nadie.