• Los hackers insertaron código en Safe{Wallet} para robar casi 1,5 mil millones de dólares de Bybit en febrero de 2025.
• El FBI atribuyó el robo a Bybit a Corea del Norte.
• Binance perdió unos 6,3 mil millones de dólares el 29 de octubre; el ataque se rastreó hasta la computadora portátil comprometida de un ingeniero.
Una sola app de firma, 1,5 mil millones de dólares
Casi 1,5 mil millones de dólares salieron del exchange de criptomonedas Bybit en febrero de 2025, y la puerta que usaron los atacantes no pertenecía a Bybit. Insertaron código en Safe{Wallet}, una aplicación externa de firma que el exchange había integrado en su flujo de transferencias, una práctica habitual entre las mesas que firman transacciones multifirma mediante una interfaz específica. Los empleados que revisaban una transacción veían un destinatario en pantalla, mientras que la firma que generaban autorizaba otro. El FBI atribuyó la operación a Corea del Norte. Los clientes de Bybit quedaron expuestos a través de una infraestructura que nunca utilizaron. Nunca se robó ninguna clave privada. Los ladrones jamás consiguieron las credenciales maestras que controlaban las billeteras; engañaron a los propios sistemas de aprobación del exchange para que liberaran los fondos, y la vulnerabilidad se encontraba en la capa de aplicación, un nivel por encima de la criptografía. La firma multifirma existe para exigir más de una aprobación antes de que se mueva el dinero, y el código insertado neutralizó ese control al manipular lo que veían quienes aprobaban. Los 1,5 mil millones de dólares que salieron de la plataforma pasaron por ese único flujo comprometido. Los registros en cadena y las declaraciones de las empresas sitúan los daños totales por encima de los 8 mil millones de dólares en Binance, Bybit y Bitget durante 20 meses, y todos esos robos se perpetraron durante el paso de aprobación, no mediante las claves. Safe{Wallet} es la interfaz de firma del protocolo Safe, cuyas billeteras son un estándar muy extendido en el sector, razón por la que el incidente vuelve a salir a la luz cada vez que se produce una nueva brecha. El precio de Safe ha bajado un 3,3 % en las últimas 24 horas, mientras se repite el patrón. Para un protocolo cuyo producto es la confianza en el proceso de firma, un episodio en el que los firmantes aprobaron transferencias que nunca eligieron representa exactamente el tipo de fallo que la marca existe para prevenir.
Tres hackeos, ninguna clave robada
El turno de Binance llegó el jueves 29 de octubre, cuando el exchange perdió unos 6.300 millones de dólares. El codirector ejecutivo Richard Teng dijo que el atraco comenzó con la computadora portátil de un ingeniero comprometida, y que la revisión de la empresa no encontró indicios de una filtración de claves. «El atacante no se limitó a usar los permisos de un ingeniero, y esto no fue una única acción de un solo clic», dijo Teng en su relato oficial de la brecha. Bitget perdió unos 387,5 millones de dólares en septiembre, cuando los atacantes entraron a través de fallas en productos de seguridad de terceros, tras lo cual las órdenes de retiro falsas pasaron por su proceso habitual de firma. Coinbase, que no ha revelado ningún robo comparable, es el caso de contraste que ahora estudia el mercado. Su modelo de custodia utiliza computación multipartita, que divide cada clave en fragmentos almacenados en máquinas distintas, y la empresa afirma que desarrolla internamente todo el software crítico para la seguridad; tanto la brecha de Bitget como la de Bybit se produjeron a través de terceros. Greg Tusar, codirector ejecutivo de Coinbase Institutional, describió el diseño en una publicación del blog de la empresa: «MPC garantiza que las claves privadas completas nunca se almacenen en reposo ni en una sola máquina durante la firma o mientras se utilizan». Los datos en cadena muestran que las billeteras de Coinbase contienen unos 959.000 BTC repartidos en 69,8 millones de direcciones, una participación valorada en 74.700 millones de dólares, y el investigador Zeeme sostiene en un hilo en X que esta configuración bloquea las tres vías de ataque, ya que una computadora portátil robada solo proporcionaría un fragmento de clave inútil. El director de Tecnología, Rob Witoff, dijo que el exchange está «vigilando la volatilidad de los precios y rastreando en cadena los fondos robados», mientras que el director de Seguridad, Jeff Lunglhofer, dijo que Coinbase está bloqueando las transferencias a billeteras de Binance comprometidas y que, por precaución, ajustó su almacenamiento en frío. Los clientes que prefieran retirar sus fondos de la plataforma pueden seguir nuestra guía sobre cómo retirar dinero de Coinbase. La empresa no está libre de brechas: en 2025, delincuentes sobornaron a personal de soporte en el extranjero para filtrar datos de clientes recopilados a través de su proceso KYC, un incidente que Coinbase valoró entre 180 y 400 millones de dólares, aunque afirmó que nunca se pudo acceder a los fondos. En abril, el investigador Marc Baumann estimó que Coinbase custodia el 84 % de los activos de los ETF de Bitcoin al contado de EE. UU., unos 77.000 millones de dólares bajo un único custodio.
El riesgo de firma más allá de los exchanges
Los tres atracos comparten una falla de diseño, y no es la criptografía: cada uno apuntó al paso de aprobación en el que una persona firma, que es precisamente lo que el sistema de división de claves y el desarrollo interno de Coinbase están diseñados para proteger. En el caso de SAFE, el análisis es más difícil: la interfaz de firma del protocolo fue el vector del robo a Bybit, y el mercado está reajustando el precio del token tanto por esa asociación como por su tokenómica. Nuestra página de análisis técnico de SAFE sigue cómo el token absorbe cada nuevo titular sobre seguridad. Las billeteras de hardware plantean interrogantes similares sobre la cadena de suministro, como demuestra desde marzo de 2026 el informe sobre el implante en dispositivos CryptoBilis Safe 5. Con el 84 % de los activos de los ETF de Bitcoin al contado de EE. UU. bajo un único custodio, ese mismo paso de aprobación ahora protege los fondos de Wall Street. Las pérdidas recaen en los exchanges y sus usuarios; Coinbase afirma que está rastreando en cadena los fondos robados, y los antecedentes no ofrecen ninguna vía para recuperar lo que se sustrajo.