La seguridad de las criptomonedas enfrenta una de sus pruebas más difíciles. Binance, la mayor plataforma de intercambio de activos digitales del mundo, confirmó un ciberataque que comprometió aproximadamente $6.300 millones, una cifra cuatro veces superior al mayor robo registrado anteriormente en este mercado.
Los ciberdelincuentes no necesitaron destruir la tecnología que sostiene las criptomonedas para protagonizar el mayor robo de este tipo en la historia.
Las primeras investigaciones apuntan a que consiguieron penetrar los sistemas internos de Binance mediante un dispositivo comprometido y aprovecharon vulnerabilidades que todavía están bajo investigación.
La compañía aseguró que utilizará recursos propios para cubrir la totalidad de las pérdidas de sus clientes y sostuvo que los activos de los usuarios no fueron utilizados ni comprometidos directamente.
Sin embargo, el incidente deja varias preguntas abiertas: ¿cómo consiguieron los atacantes penetrar los sistemas de una de las empresas tecnológicas y financieras más grandes del mundo?, ¿quiénes están detrás de la operación?, ¿qué papel habría desempeñado un ordenador portátil de un ingeniero? y, sobre todo, ¿qué posibilidades existen de recuperar los fondos?
Las primeras investigaciones apuntan a una operación sofisticada que habría involucrado varios puntos de acceso y no solamente un dispositivo, como se informó inicialmente.
Además, tres compañías especializadas en rastreo de criptomonedas identificaron similitudes con operaciones anteriores atribuidas a grupos de hackers vinculados con Corea del Norte.
El presidente estadounidense, Donald Trump, confirmó que su Gobierno está investigando el incidente y la posible participación de ciberdelincuentes norcoreanos.
“Lo estamos investigando”, respondió Trump a los periodistas en el Despacho Oval cuando le preguntaron si Corea del Norte podría estar detrás del ataque. “Fue un hackeo”, añadió.
¿Cómo consiguieron entrar a Binance?
La primera explicación proporcionada por Binance apuntó a un ordenador portátil perteneciente a uno de sus ingenieros.
De acuerdo con la investigación inicial comunicada por la empresa, los atacantes habrían comprometido ese dispositivo y conseguido acceder a un contenedor de servicios, un entorno tecnológico utilizado para ejecutar aplicaciones y procesos internos.
Desde allí, habrían logrado realizar operaciones de retiro no autorizadas.
En términos sencillos, los ciberdelincuentes no necesariamente tuvieron que ingresar directamente a las cuentas individuales de los clientes. El objetivo habría sido penetrar la infraestructura que permite a la plataforma administrar sus propios activos y autorizar movimientos de dinero.
La diferencia es importante.
Binance administra grandes cantidades de criptomonedas y utiliza diferentes tipos de billeteras digitales para almacenar y movilizar esos activos. Algunas permanecen desconectadas de internet, mientras que otras están conectadas para facilitar las operaciones.
Estas últimas se conocen como billeteras calientes o hot wallets.
Su conexión permanente permite procesar transacciones con mayor rapidez, pero también las expone a riesgos informáticos si un atacante consigue vulnerar los mecanismos de acceso y autorización.
En este caso, Binance reconoció que el ataque afectó un portafolio conectado a internet.
El codirector ejecutivo de la compañía, Richard Teng, explicó que los atacantes consiguieron acceder a ese portafolio sin superar los controles internos habituales.
El directivo también indicó que la operación no fue ejecutada por una sola persona y que los responsables utilizaron un mecanismo de autodestrucción para borrar sus rastros.
La investigación, además, descubrió puntos adicionales de vulneración que no habían sido identificados en las primeras comunicaciones.
Esto modificó la explicación inicial de la empresa, que había señalado que el incidente estaba relacionado únicamente con un ordenador portátil.
Binance aseguró que no encontró evidencia de una filtración de las claves privadas de las billeteras.
Estas claves funcionan como contraseñas criptográficas que permiten autorizar movimientos de criptomonedas. Quien consigue controlarlas puede tener la capacidad de transferir los activos asociados.
Por ahora, la compañía no ha divulgado públicamente todos los detalles técnicos del ataque ni ha explicado con precisión cómo se consiguió superar cada uno de sus controles de seguridad.
La blockchain no fue necesariamente vulnerada
Uno de los aspectos que más confusión puede generar entre los usuarios es pensar que los hackers consiguieron romper la tecnología que sostiene las criptomonedas.
No necesariamente fue así.
Las criptomonedas utilizan una tecnología conocida como blockchain o cadena de bloques, que funciona como un registro digital compartido en el que quedan anotadas las transacciones.
Su diseño permite verificar los movimientos y dificulta que alguien pueda alterar unilateralmente el historial de operaciones.
Sin embargo, la seguridad de la blockchain no significa que todas las empresas que administran criptomonedas sean invulnerables.
El punto débil puede estar en los sistemas informáticos que utilizan las plataformas, los dispositivos de sus empleados, los programas que autorizan las transacciones o los mecanismos de custodia.
Por ejemplo, una persona puede mantener sus criptomonedas en una plataforma de intercambio sin administrar directamente las claves privadas de sus activos.
En ese escenario, depende de los sistemas de seguridad de la compañía para proteger su dinero y permitirle realizar retiros.
Si los atacantes consiguen comprometer la infraestructura de la plataforma, pueden intentar movilizar activos sin necesidad de vulnerar la tecnología blockchain.
Por esa razón, incluso cuando una criptomoneda utiliza mecanismos criptográficos robustos, los servicios que permiten comprarla, venderla y almacenarla siguen expuestos a ataques informáticos.
El analista Stéphane Ifrah, de la plataforma francesa Coinhouse, advirtió que ni siquiera utilizar una de las plataformas de intercambio más robustas del mundo elimina completamente el riesgo de sufrir un ataque.
El episodio también recuerda que almacenar activos digitales en una plataforma de terceros implica asumir riesgos adicionales frente a quienes administran directamente sus propias billeteras.
¿Quiénes están detrás? Las sospechas apuntan a Corea del Norte
Aunque todavía no existe una atribución oficial de responsabilidad, varias empresas especializadas en inteligencia y análisis de blockchain identificaron indicios que relacionan el ataque con organizaciones de hackers vinculadas con Corea del Norte.
La firma TRM Labs aseguró tener un alto grado de confianza en que la operación fue ejecutada por TraderTraitor, un grupo de ciberdelincuentes relacionado con ese país.
Su análisis se fundamenta en información recopilada dentro y fuera de la cadena de bloques, así como en características que coinciden con ataques anteriores atribuidos a organizaciones norcoreanas.
Chainalysis y Elliptic también identificaron señales que apuntan hacia esa misma dirección.
Otra compañía, Pangolin Intelligence, con sede en Singapur, señaló que el análisis de los movimientos de los activos digitales y su comparación con incidentes anteriores permitió establecer coincidencias con operaciones relacionadas con grupos norcoreanos.
Las sospechas se concentran particularmente en TraderTraitor, organización que se considera vinculada con el denominado Grupo Lazarus.
Este último adquirió notoriedad internacional en 2014, cuando fue acusado de participar en el ciberataque contra Sony Pictures Entertainment.
La operación ocurrió después de que la compañía produjera la película The Interview, una comedia que se burlaba del líder norcoreano Kim Jong-un.
Desde entonces, diferentes investigaciones internacionales han relacionado a grupos de hackers norcoreanos con robos a bancos, empresas financieras y plataformas de criptomonedas.
La preocupación de las autoridades estadounidenses es que estas operaciones podrían constituir una fuente de financiamiento para el régimen de Pyongyang, sometido a sanciones internacionales.
Según investigaciones de organismos estadounidenses y surcoreanos, las operaciones informáticas permitirían obtener recursos que posteriormente podrían utilizarse para financiar actividades del Estado norcoreano.
No obstante, Corea del Norte ha rechazado anteriormente las acusaciones de participar en este tipo de operaciones.
Trump y el FBI entran en escena
La magnitud del incidente provocó la intervención de las autoridades estadounidenses.
El presidente Donald Trump confirmó que su Gobierno estaba examinando la posibilidad de que hackers norcoreanos estuvieran detrás de la operación.
“Lo estamos investigando”, afirmó el mandatario al ser consultado sobre la posible participación de Corea del Norte.
El FBI también confirmó que tenía conocimiento del incidente y que estaba trabajando para comprender su alcance, evaluar las posibles consecuencias y coordinar las medidas de investigación.
La participación de las autoridades estadounidenses resulta relevante porque el rastreo de criptomonedas no termina cuando los atacantes consiguen transferir los activos.
Aunque las transacciones quedan registradas en la blockchain, los responsables pueden intentar movilizar los fondos entre diferentes redes, dividirlos en múltiples operaciones o utilizar servicios que dificulten identificar su destino.
¿Podrán recuperar los $6.300 millones?
Una de las primeras medidas adoptadas por Binance fue suspender temporalmente los depósitos y retiros para realizar verificaciones de seguridad, bloquear movimientos sospechosos y trabajar con las autoridades.
La compañía informó que había conseguido congelar aproximadamente $3.000 millones de los activos afectados y que continuaba con las gestiones para inmovilizar más fondos.
Congelar significa impedir que determinados fondos puedan movilizarse mientras se realizan las investigaciones o se determina su situación.
Recuperarlos implica conseguir que vuelvan efectivamente a manos de sus propietarios.
Los atacantes todavía podrían intentar trasladar los activos a otras redes, utilizar intermediarios o recurrir a mecanismos para dificultar su rastreo.
Por eso, aunque el bloqueo de una parte importante de los fondos representa un avance, no significa que la totalidad del dinero esté recuperada.
