Nahuzz

La industria cripto puede gastar millones en seguridad, contratar ejércitos de especialistas, auditar hasta la última línea de código y construir sistemas capaces de custodiar fortunas.
Todo muy moderno, muy sofisticado, muy del siglo XXI. Hasta que aparece un desconocido con una falsa oferta laboral, consigue que un ingeniero descargue un archivo y termina entrando por la puerta principal de una infraestructura que supuestamente era inexpugnable.
No hace falta dinamitar una blockchain. No hace falta descubrir una falla matemática que nadie había detectado. A veces alcanza con hacerse pasar por un reclutador y esperar que alguien del otro lado tenga un mal día de criterio.
Y ahí tenemos a una industria que habla de eliminar la confianza, pero que sigue dependiendo de que cientos de empleados no cometan errores, no entreguen credenciales, no abran archivos sospechosos y no conviertan su computadora de trabajo en una invitación abierta para los delincuentes.
Es una contradicción bastante deliciosa, si uno no tiene dinero involucrado.
Porque cuando hablamos de estas empresas no estamos hablando de una computadora familiar infectada con un programa molesto. Estamos hablando de organizaciones que administran miles de millones de dólares. Un empleado puede tener acceso a herramientas que permiten intervenir en operaciones financieras de una magnitud que probablemente nunca verá en su cuenta bancaria.
Y los atacantes entendieron algo que a veces parece escapársele a quienes diseñan estos sistemas: no siempre es necesario vencer a la tecnología. Puede ser mucho más sencillo engañar a quienes la manejan.
Los casos de Ronin, Coinbase y Binance muestran hasta dónde puede llegar esa estrategia. Y también dejan una pregunta que no resulta precisamente cómoda para los grandes nombres de la industria: ¿cuánto vale toda esa arquitectura de seguridad cuando el camino más corto hacia los fondos pasa por la confianza que una empresa deposita en sus propios empleados?
EL ATAQUE NO SIEMPRE NECESITA ROMPER EL SISTEMA
Cuando se habla de seguridad cripto, enseguida aparecen los contratos inteligentes, las auditorías, las vulnerabilidades de código y los exploits. Es el terreno conocido. Se buscan errores de programación, se revisan los protocolos y se intenta descubrir por dónde podría entrar alguien sin autorización.
Pero hay un pequeño inconveniente: mientras los equipos de seguridad buscan agujeros en el código, los atacantes también pueden estar buscando agujeros en las personas.
Y no necesitan demasiada imaginación. Una falsa oferta laboral, un supuesto ejercicio técnico, un archivo adjunto o una herramienta que parece legítima pueden ser suficientes para iniciar una intrusión.
El objetivo no siempre es conseguir la contraseña de un usuario cualquiera. Eso puede servir para muchas cosas, pero hay objetivos bastante más interesantes: las credenciales de un desarrollador, el acceso de un administrador o los permisos de alguien que puede intervenir en los sistemas internos.
Una cuenta de trabajo puede tener autorizaciones que desde afuera serían prácticamente imposibles de conseguir. Y si el atacante logra comprometerla, empieza a moverse utilizando herramientas que la propia organización reconoce como legítimas.
Es una situación bastante perversa. El sistema no necesariamente está viendo a un intruso. Puede estar viendo a uno de sus propios empleados.
El incidente informado por Binance el 3 de noviembre de 2026 permite observar esta clase de operación. Según el informe preliminar, la investigación apunta a una cadena de acontecimientos que comenzó meses antes del ataque del 29 de octubre. Hubo descargas de software modificado, dispositivos comprometidos y una falsa entrevista laboral que llevó a un ingeniero a ejecutar un repositorio malicioso en su computadora de trabajo.
A partir de ese acceso, los atacantes consiguieron avanzar hacia otros entornos internos. También aprovecharon una herramienta de inteligencia artificial utilizada dentro de la organización para ampliar su acceso y terminaron obteniendo credenciales con permisos para desplegar contenedores.
La secuencia no fue precisamente un paseo por una página web sospechosa. Los atacantes fueron aprovechando distintas relaciones de confianza entre dispositivos, herramientas y sistemas internos hasta llegar a un servicio encargado de firmar transacciones de billeteras.
Y ahí la historia cambia de categoría.
Porque una cosa es comprometer la computadora de un empleado y otra muy distinta es terminar con acceso a una infraestructura que participa directamente en operaciones financieras.
La pregunta es inevitable: ¿cuántas capas de seguridad pueden quedar en el camino cuando alguien consigue entrar utilizando las credenciales de una persona autorizada?
TRES CASOS QUE DEJAN POCO ESPACIO PARA LAS EXCUSAS
Lo ocurrido con Ronin en marzo de 2022 es uno de los ejemplos más contundentes. Los atacantes utilizaron una falsa oferta laboral para comprometer la computadora de un ingeniero de Sky Mavis, la empresa detrás del proyecto. Desde allí consiguieron controlar cuatro de los nueve validadores que protegían el puente de Ronin.
Les faltaba una quinta firma para autorizar los retiros. La encontraron aprovechando un permiso anterior que seguía activo, aunque ya no se utilizaba.
El resultado fue el robo de 173.600 ETH y 25,5 millones de USDC, unos 624 millones de dólares en aquel momento.
La red tenía un sistema de firmas múltiples para evitar que una sola entidad controlara los fondos. El problema era que la distribución real de ese poder no era tan independiente como parecía.
En mayo de 2025, Coinbase comunicó otro tipo de vulnerabilidad. Algunos empleados y contratistas de soporte habrían recibido pagos para entregar información de clientes. Entre los datos expuestos había nombres, domicilios, teléfonos, documentos de identidad e información de cuentas.
No se llevaron las claves privadas ni tuvieron acceso directo a los fondos, pero consiguieron algo que puede ser muy útil para preparar nuevos ataques: información personal con la que construir engaños mucho más convincentes.
Y después está Binance, cuyo incidente de octubre de 2026 muestra hasta dónde puede avanzar una intrusión cuando consigue alcanzar los sistemas internos de una plataforma.
Según el informe preliminar, los atacantes comprometieron dispositivos y credenciales, aprovecharon herramientas internas y llegaron hasta un servicio de firma de transacciones.
El episodio involucró aproximadamente 6.340 millones de dólares en activos, aunque esa cifra no representa una pérdida neta definitiva: la empresa informó que había congelado o interceptado una parte importante y repuesto el 98% de los activos afectados al 31 de octubre.
Los tres casos tienen características diferentes. En uno se comprometieron validadores, en otro se comercializó información de clientes y en el tercero se llegó hasta una infraestructura de firma.
Pero hay un elemento que los conecta: el acceso que tenían determinadas personas y la manera en que ese acceso podía ser aprovechado.
Y eso debería llamar bastante más la atención que cualquier promesa de seguridad impresa en una presentación corporativa.
LOS NÚMEROS NO SON PRECISAMENTE TRANQUILIZADORES
Las historias individuales pueden parecer excepciones. Siempre existe la posibilidad de pensar que Ronin tuvo mala suerte, que Coinbase sufrió un problema puntual o que Binance enfrentó una operación especialmente sofisticada.
Pero los números complican bastante esa interpretación.
En su informe sobre delitos cripto correspondiente a 2025, TRM Labs estimó que se robaron aproximadamente 2.870 millones de dólares en cerca de 150 ataques y exploits.
Lo interesante aparece cuando se observa de dónde salió la mayor parte de ese dinero.
Los ataques contra infraestructura representaron alrededor de 2.200 millones de dólares, aproximadamente el 76% del total. En esa categoría se incluyen compromisos de claves privadas, infraestructura de billeteras, accesos privilegiados y otros componentes operativos.
Los exploits de código, por su parte, representaron alrededor de 350 millones de dólares, equivalentes al 12,1%.
La diferencia es bastante llamativa.
Durante años, buena parte de la conversación sobre seguridad cripto estuvo concentrada en los contratos inteligentes. Y tiene sentido: un error de programación puede permitir que alguien vacíe un protocolo entero.
Pero las cifras muestran que los atacantes también encontraron oportunidades enormes en otro lugar: los sistemas que administran los activos y las personas que tienen acceso a ellos.
Además, los diez incidentes más importantes concentraron el 81% del valor robado durante 2025.
Esto significa que no hace falta una cantidad interminable de ataques para producir pérdidas gigantescas. Un solo acceso comprometido en el lugar adecuado puede terminar teniendo consecuencias económicas superiores a las de decenas de exploits menores.
Y acá aparece una cuestión que debería preocupar bastante a cualquier plataforma: el riesgo no siempre está relacionado con la cantidad de ataques que recibe, sino con el nivel de acceso que consigue el atacante cuando uno de ellos funciona.
Un empleado comprometido puede ser más peligroso que cientos de intentos fallidos contra un contrato inteligente.
MUCHA DESCENTRALIZACIÓN, PERO ¿QUIÉN TIENE LAS LLAVES?
Acá aparece una de las contradicciones más interesantes de la industria.
La blockchain puede tener miles de nodos, reglas públicas y transacciones que cualquiera puede verificar. Todo muy transparente, distribuido y verificable.
Pero millones de usuarios mantienen sus activos en exchanges y plataformas de custodia que administran fondos en su nombre.
El usuario abre una aplicación, mira su saldo y ve sus criptomonedas. Lo que probablemente no ve es quién controla las claves que permiten moverlas.
Detrás de esa pantalla hay equipos técnicos, sistemas de firma, políticas internas y personas con distintos niveles de autorización.
Esto no significa que la custodia centralizada sea necesariamente insegura. Significa que existe una concentración de poder operativo que no siempre coincide con la imagen de descentralización que se presenta al público.
Ronin mostró que varios validadores pueden depender de una misma organización. Coinbase mostró que alguien con acceso a información puede convertir ese privilegio laboral en una oportunidad para los delincuentes. Binance expuso cómo una cadena de accesos internos puede terminar alcanzando un servicio de firma de transacciones.
Son tres problemas distintos, pero todos apuntan hacia una misma cuestión: ¿quién tiene realmente el control?
Porque una cosa es que una blockchain sea descentralizada y otra es que todos los servicios que utilizamos para acceder a ella también lo sean.
El usuario puede consultar una prueba de reservas, leer una auditoría y revisar los comunicados de una plataforma. Pero difícilmente pueda saber cuántas personas tienen permisos para intervenir en una operación, quién puede desplegar software o qué sucede cuando una credencial privilegiada aparece en una computadora comprometida.
La descentralización que aparece en una presentación comercial puede convivir perfectamente con una estructura interna bastante centralizada.
Y esa diferencia no suele aparecer en las publicidades.
TAMBIÉN HAY UN NEGOCIO ALREDEDOR DE ESTE PROBLEMA
Como era de esperar, las amenazas que enfrenta la industria también abrieron espacio para empresas especializadas en seguridad.
FIREBLOCKS desarrolla infraestructura de custodia y autorización de transacciones. Sus herramientas permiten establecer políticas por activo, destino, monto y tipo de operación, además de exigir aprobaciones de varias personas para determinados movimientos.
BLOCKAID trabaja en la detección de amenazas dentro del entorno on-chain. Analiza direcciones, aplicaciones y transacciones para identificar actividad potencialmente maliciosa antes de que los usuarios interactúen con ella.
FORTA desarrolla sistemas de monitoreo y detección de amenazas en tiempo real, con herramientas capaces de analizar transacciones y detectar comportamientos sospechosos.
TRM LABS, por su parte, trabaja con inteligencia blockchain para rastrear movimientos de fondos, identificar patrones y colaborar en investigaciones relacionadas con actividades ilícitas.
Cada empresa aborda una parte diferente del problema. Algunas se concentran en la custodia y las autorizaciones; otras, en el análisis de transacciones, la detección de amenazas o el seguimiento de fondos.
El negocio tiene sentido. Cuanto más dinero circula por estas infraestructuras, mayor es la necesidad de protegerlas.
Pero tampoco conviene caer en otra fantasía: contratar cinco empresas de seguridad no convierte automáticamente a una organización en inexpugnable.
Una herramienta puede detectar una operación extraña, limitar permisos o exigir una segunda aprobación. Sin embargo, todo depende de cómo se configura, quién la administra y qué ocurre cuando alguien consigue acceder a los sistemas que deberían protegerla.
Una política de seguridad guardada en un documento no detiene a un atacante.
Tampoco sirve demasiado tener sistemas de monitoreo sofisticados si una credencial privilegiada permite saltarse los controles.
La diferencia está en la capacidad de detectar una intrusión, limitar el daño y reaccionar antes de que un acceso inicial termine convertido en una transferencia irreversible.
Y, sobre todo, en revisar periódicamente quién tiene permiso para hacer qué. Parece una recomendación bastante elemental para una industria que maneja miles de millones, pero los casos anteriores muestran que todavía queda trabajo por hacer.
EL USUARIO TAMBIÉN PUEDE TERMINAR PAGANDO LA CUENTA
Aunque los ataques más importantes suelen dirigirse contra empleados y sistemas internos, los usuarios tampoco están fuera de esta historia.
Una filtración de datos puede facilitar intentos de suplantación de identidad. Una falsa oferta laboral puede comprometer la computadora de un desarrollador. Un enlace aparentemente legítimo puede llevar a una aplicación diseñada para conseguir permisos sobre una billetera.
Y los delincuentes no necesitan inventar demasiado. Pueden aprovechar situaciones que ya generan preocupación: un retiro demorado, una cuenta bloqueada, una operación sospechosa o una supuesta alerta de seguridad.
Por eso siguen siendo importantes algunas precauciones bastante concretas.
Las ofertas de trabajo deben verificarse por canales independientes. Los archivos inesperados no deberían ejecutarse sin comprobar su procedencia. Las herramientas de desarrollo deben descargarse desde repositorios oficiales y los permisos solicitados por las aplicaciones tienen que revisarse con atención.
También conviene entender que conectar una billetera, firmar un mensaje y autorizar una transacción son acciones diferentes.
Una firma puede conceder permisos que permitan ejecutar operaciones posteriores sobre determinados activos, incluso sin volver a pedir autorización en cada movimiento.
Y si una plataforma informa sobre un incidente, hay que tener especial cuidado con los supuestos empleados de soporte que aparecen por mensajes privados ofreciendo ayuda.
Esos contactos pueden aprovechar precisamente el momento en que el usuario está preocupado y busca resolver un problema rápido.
La seguridad personal no puede solucionar las fallas internas de una empresa. Pero entregar una autorización sin entender qué estamos firmando puede terminar agregando otro problema a una situación que ya era complicada.
RECUPERAR EL DINERO NO SIGNIFICA QUE TODO ESTÉ RESUELTO
Después de un ataque llegan los comunicados, las explicaciones técnicas, las auditorías y los anuncios sobre nuevas medidas de protección. Las empresas informan cuánto dinero se recuperó, qué sistemas fueron afectados y qué acciones tomaron para contener el incidente.
Es necesario. Pero también puede convertirse en una manera bastante cómoda de cerrar una historia antes de responder las preguntas más difíciles.
¿Cuánto tiempo pasó antes de detectar la intrusión? ¿Qué permisos permitieron avanzar al atacante? ¿Por qué seguían existiendo autorizaciones que ya no se utilizaban? ¿Cuántas personas podían acceder a los sistemas afectados? ¿Qué cambió realmente después del incidente?
Recuperar fondos es importante. Muchísimo. Pero no demuestra por sí solo que las debilidades que permitieron el ataque hayan desaparecido.
Una auditoría tampoco garantiza que una organización no vuelva a ser comprometida. Los sistemas cambian, los empleados cambian, aparecen nuevas herramientas y se conceden nuevos permisos. La seguridad no es una fotografía que se toma una vez y después se guarda en una carpeta.
En una industria donde las transacciones pueden ejecutarse en segundos y los activos circular entre distintas redes, la capacidad de reacción tiene un valor enorme. Detectar una anomalía, revocar una autorización y coordinar el congelamiento de fondos puede marcar una diferencia de cientos de millones de dólares.
El problema es que buena parte de esa seguridad permanece fuera de la vista del usuario.
Desde una aplicación se puede consultar un saldo, realizar una transferencia y revisar los movimientos de una cuenta. Lo que no aparece en pantalla es la cantidad de personas, permisos, dispositivos y decisiones que hacen posible cada operación.
Y ahí vuelve a aparecer la contradicción de fondo.
Una industria que nació cuestionando la necesidad de confiar en intermediarios sigue dependiendo de organizaciones, empleados y sistemas internos para administrar una parte enorme de sus activos.
Podemos hablar de descentralización, criptografía avanzada, inteligencia artificial y protocolos de última generación. Podemos gastar fortunas en auditorías y construir mecanismos cada vez más complejos.
Pero si una falsa entrevista laboral puede terminar abriendo el acceso a una infraestructura financiera, hay algo bastante básico que todavía no está resuelto.
Al final, el atacante no siempre necesita encontrar una falla en la blockchain. A veces le alcanza con encontrar a la persona adecuada, contarle una buena mentira y esperar que descargue el archivo.
#security #crypto #blockchain #defi #Web3

El mercado de las finanzas descentralizadas genera una enorme cantidad de información: capital depositado en protocolos, operaciones, comisiones, ingresos, liquidez y rendimientos.
Interpretar todos esos datos puede resultar complicado si no se cuenta con herramientas que permitan organizarlos y compararlos.
En ese contexto, DefiLlama se convirtió en una plataforma de referencia para analizar el ecosistema DeFi.
Su principal ventaja es que permite consultar información de cientos de protocolos y blockchains desde un mismo lugar, sin necesidad de registrarse ni pagar por acceder a sus estadísticas principales.
Pero conocer la plataforma no consiste solamente en observar qué protocolo tiene más capital bloqueado. Lo importante es entender qué representa cada indicador y qué información puede aportar sobre la actividad real de un proyecto.
¿QUÉ ES DEFILLAMA Y QUÉ INFORMACIÓN OFRECE?
DefiLlama es una plataforma de análisis que recopila datos de protocolos descentralizados y los presenta mediante estadísticas, rankings y gráficos.
Entre sus principales apartados se encuentran:
- TVL: permite conocer cuánto capital está depositado en los protocolos.
- Fees: muestra las comisiones que pagan los usuarios por utilizar una plataforma.
- Revenue: registra qué parte de esas comisiones queda en manos del protocolo.
- Stablecoins: permite analizar la circulación y distribución de monedas estables.
- Yields: reúne información sobre los rendimientos ofrecidos por distintos pools.
- DEX Volume: permite observar el volumen de operaciones en exchanges descentralizados.
También ofrece información sobre puentes entre redes, desbloqueos de tokens, financiación de proyectos y eventos de seguridad.
TVL: UNA DE LAS MÉTRICAS MÁS IMPORTANTES.
TVL significa Total Value Locked y representa el valor de los activos depositados en un protocolo o ecosistema DeFi.
Es uno de los indicadores más utilizados para evaluar el tamaño de un proyecto. Un TVL elevado puede reflejar una importante cantidad de capital depositado y participación de los usuarios.
Sin embargo, hay un detalle importante: el TVL se expresa generalmente en dólares.
Esto significa que puede disminuir cuando bajan los precios de las criptomonedas depositadas, incluso si los usuarios mantienen sus posiciones dentro del protocolo.
Por eso, observar únicamente la variación del TVL puede llevar a conclusiones equivocadas. Conviene comparar su evolución con los precios de los activos y, cuando sea posible, analizar las cantidades de tokens depositadas.
También es importante evitar sumar cifras de diferentes protocolos sin considerar los depósitos reutilizados, ya que un mismo capital puede aparecer representado en varias plataformas.
FEES Y REVENUE: DOS INDICADORES QUE NO SIGNIFICAN LO MISMO.
Otro apartado relevante de DefiLlama es el relacionado con las comisiones y los ingresos.
Aunque suelen confundirse, representan conceptos diferentes.
Las fees muestran cuánto dinero pagan los usuarios por utilizar un protocolo. En cambio, el revenue indica cuánto de ese dinero termina quedando en manos del propio proyecto.
La diferencia es importante cuando se analiza un token.
Un protocolo puede registrar millones de dólares en comisiones, pero distribuir prácticamente todo ese dinero entre proveedores de liquidez y otros participantes.
Por eso, un volumen elevado de actividad no implica necesariamente que el proyecto esté generando ingresos para sus propietarios o que exista un mecanismo de captura de valor para su token.
STABLECOINS: UNA FORMA DE OBSERVAR LA LIQUIDEZ.
DefiLlama también permite analizar el mercado de stablecoins y consultar su circulación en diferentes blockchains.
Esta información resulta útil para observar cómo se distribuye la liquidez dentro del ecosistema.
Un aumento de la oferta puede estar relacionado con nuevas emisiones y una mayor disponibilidad de capital. Por el contrario, una reducción puede reflejar reembolsos o una contracción de la oferta.
También permite comparar el peso de emisores como Tether y Circle y observar en qué redes circulan sus monedas.
Es un indicador interesante para evaluar la evolución de la liquidez, aunque por sí solo no permite determinar cuánto de ese capital terminará utilizándose en operaciones DeFi.
YIELDS: CÓMO ANALIZAR LOS RENDIMIENTOS.
La sección Yields reúne información sobre los rendimientos disponibles en diferentes protocolos y pools.
Permite consultar el APY, el capital depositado, la blockchain correspondiente y la composición de los rendimientos.
Este último punto merece ESPECIAL ATENCIÓN.
Un rendimiento puede provenir de intereses y comisiones generados por la actividad del protocolo o de recompensas distribuidas en tokens.
La diferencia es considerable. Si una parte importante del APY depende de incentivos en tokens, una caída en su precio puede reducir el rendimiento real obtenido por el usuario.
Por eso, antes de evaluar una oportunidad conviene revisar el rendimiento base, el tamaño del pool, la liquidez disponible y los riesgos asociados al protocolo.
Un porcentaje elevado no garantiza que la estrategia sea sostenible.
SEIS ERRORES QUE CONVIENE EVITAR AL UTILIZAR DEFILLAMA.
Para aprovechar correctamente la plataforma, hay algunas confusiones habituales que pueden distorsionar el análisis:
1. Interpretar una caída del TVL como una salida de capital: los cambios de precio también afectan esta métrica.
2. Sumar el TVL de distintos protocolos: puede producir duplicaciones cuando un mismo activo se utiliza en varias plataformas.
3. Confundir reservas de exchanges con capital DeFi: son categorías diferentes.
4. Tomar las comisiones como ingresos: no todo lo que pagan los usuarios queda en manos del protocolo.
5. Considerar sostenibles los APY elevados: es necesario identificar de dónde provienen las recompensas.
6. Confundir TVL con capitalización de mercado: uno mide activos depositados y el otro el valor de mercado de los tokens.
CÓMO UTILIZAR DEFILLAMA PARA ANALIZAR UN PROYECTO.
Una forma práctica de comenzar es ingresar en DefiLlama y seleccionar el protocolo que se quiere investigar.
Primero conviene revisar su TVL y observar cómo evolucionó durante diferentes períodos. Después, comparar su participación dentro de la blockchain donde opera y consultar las comisiones e ingresos que genera.
El siguiente paso es analizar si existe actividad económica suficiente para justificar el funcionamiento del proyecto y qué parte de esa actividad beneficia directamente al protocolo.
También resulta útil observar la evolución de las stablecoins y la liquidez disponible en su ecosistema.
Por último, si el proyecto ofrece oportunidades de rendimiento, conviene revisar la composición del APY y los riesgos de cada pool.
CONCLUSIÓN:
DefiLlama permite acceder a información que ayuda a comprender mejor la actividad de las finanzas descentralizadas. Sus indicadores sirven para comparar protocolos, identificar cambios en la liquidez y evaluar si existe actividad económica detrás de un proyecto.
La utilidad de la plataforma depende principalmente de interpretar cada dato dentro de su contexto. El TVL, las comisiones, los ingresos y los rendimientos responden a preguntas diferentes, y analizarlos en conjunto ofrece una visión mucho más completa de cualquier ecosistema DeFi.
#crypto #defi #blockchain #TradingCommunity #TrendingTopic