Este año, los hackers no están robando dinero, están «desmantelando la casa».
Mientras todos siguen pendientes de las velas y trazando líneas en los gráficos, ya se ha completado en silencio un desmantelamiento sistemático de los cimientos de confianza de todo el sector cripto. No creas que se trata solo de una vulnerabilidad aislada de algún proyecto. Si conectas los incidentes de este año, descubrirás una red de estrangulamiento asfixiante.
Los calzoncillos de los CEX: no se perdieron las claves privadas, pero el dinero desapareció
El mayor esperpento del año: el exchange centralizado Binance sufrió un robo épico de 6.300 millones de dólares. El hacker no tocó las claves privadas: entró en el portátil de un ingeniero de DevOps y, mediante el mecanismo EIP-7702, fue drenando los activos sin parar, como un vampiro.
Bitget sufrió un robo de unos 388 millones de dólares. Los hackers penetraron en el sistema interno y falsificaron directamente las órdenes de retirada.
Pero eso no es lo más aterrador. Lo más aterrador es Gate.io (Ábrete, sésamo).
En julio, a un usuario le vaciaron activos por valor de 1,7 millones de dólares. La plataforma afirmó que el usuario había superado la autenticación multifactor y que el proceso se había llevado a cabo correctamente; pero el usuario insistió en que nunca recibió el código de verificación. Este caso de 1,7 millones de dólares provocó un desplome de la confianza: en la semana posterior al incidente, las salidas netas de Gate alcanzaron los 200 millones de dólares.
¿Lo entiendes? Ante el pánico sistémico, los usuarios castigan a una plataforma mucho más rápido de lo que esta puede demostrar su inocencia. Aunque no se pierdan claves privadas, basta con un punto de operación que no se haya examinado a fondo para destruir la confianza construida sobre una capitalización de mercado de decenas de miles de millones.
La impotencia de AAVE: no fue vulnerada, pero sí «atravesada»
Este verano, las blue chips de DeFi descubrieron lo que significa que «cuando se incendia la puerta de la ciudad, los peces del foso también sufren».
Los contratos inteligentes de Aave no fueron hackeados este año, pero, como mayor centro de préstamos, se convirtió en el «cajero automático» y el «vertedero» de los hackers.
Efecto dominó uno: los hackers depositaron en Aave 60 millones de USDT robados a Binance y pidieron prestados directamente unos 46 millones de dólares en ETH para convertirlos en efectivo. Aave se vio obligado a congelar de urgencia los mercados V3/V4 y a reducir en miles de millones los límites de préstamo.
Efecto dominó dos: después de que KelpDAO sufriera un ataque en abril y perdiera 292 millones de dólares, las deudas incobrables y los fondos ilícitos inundaron el pool de stETH de Aave. La utilización de fondos superó el 85 % en cuestión de horas, el token AAVE se desplomó en un solo día y el TVL perdió de golpe 8.000 millones de dólares.
¿Qué culpa tiene Aave? Ninguna. Simplemente es tan grande que se convirtió en el «basurero definitivo» de los riesgos de todo el sector. Cuando los hackers depositan fondos robados como garantía, la composabilidad de la que DeFi se enorgullece se convierte en una vulnerabilidad fatal que los hackers pueden atravesar a su antojo.
El círculo vicioso de la trituradora: puentes cross-chain y monederos físicos
Miremos también la cadena. KelpDAO falsificó mensajes cross-chain, falló la validación del puente de zkLink y la sidechain de Liquid acuñó monedas de la nada. Los puentes cross-chain se convirtieron en las imprentas de dinero de los hackers.
Aún más grave: una vulnerabilidad en el generador de números aleatorios del monedero Coldcard permitió reconstruir claves privadas sin tocar el dispositivo, y robaron cerca de 114 millones de dólares. También aumentaron los «ataques de llave inglesa» contra millonarios de las criptomonedas: asaltos en persona para obligarlos a entregar sus claves por la fuerza.
¿Crees que tus criptomonedas están seguras por guardarlas en un monedero frío? El hardware puede tener errores y quizá alguien ya te esté vigilando.
El mayor terror: la convergencia de fondos estatales
El detective on-chain ZachXBT destapó el eslabón más inquietante: los 6.300 millones robados a Binance y los 388 millones robados a Bitget acabaron pasando por THORChain y llegando a la misma dirección de blanqueo.
Esto significa que no se trata de hackers que actúan por su cuenta, sino de una fuerza de hackers patrocinada por un Estado (TraderTraitor) que lleva a cabo un ataque sistémico con una ventaja abrumadora. Atacan al mismo tiempo a CEX, DeFi y los puentes cross-chain, mientras que los defensores están completamente descoordinados y cada uno congela sus propios fondos.
Congelar sirve para contener la hemorragia, no es la cura
Tether congeló 2.000 millones y Binance cubrió con fondos propios el agujero de 6.300 millones. Pero el mercado votó con los pies: 230.000 personas sufrieron liquidaciones y Bitcoin cayó por debajo de los 77.000 dólares.
Esto transmite una señal escalofriante: el desenlace de los incidentes de seguridad se ha convertido en una cuestión de balance. Si no hay dinero para compensar las pérdidas, la confianza se derrumba.
Para terminar, quiero hacerles una pregunta tremendamente práctica:
Cuando se pueden falsificar los sistemas internos de un CEX, los pools de DeFi pueden contaminarse con dinero ilícito, se pueden falsificar los puentes cross-chain e incluso puede fallar el generador de números aleatorios de un monedero frío…
¿Qué proporción de los activos que tienes ahora está realmente distribuida bajo la premisa de «no depender de ningún punto único de confianza»?
¿Seguir confiando en los exchanges «demasiado grandes para quebrar», retirar tus fondos a un monedero frío o repartirlos entre varias cadenas?
Comparte en los comentarios tus estrategias contra los hackers y veamos quién es el verdadero «maestro de la supervivencia».