El 12 de noviembre a las 12:43 del mediodía, MapleStory Universe, el juego blockchain de Nexon, dejó de funcionar en todo el sitio. La empresa dijo en X que algunos servidores fuera de la cadena habían sufrido un acceso no autorizado, que estaban investigando el incidente y que el servicio estaba suspendido.
La parte de la cadena no se vio afectada: ni la blockchain ni los contratos inteligentes sufrieron daños. No se transfirieron activos de los registros en cadena ni de las billeteras operativas, y las claves privadas de las billeteras no se habían subido a sus sistemas.
Pero lo que se llevaron no estaba en la cadena. Los atacantes obtuvieron parte de los registros de algunos usuarios posteriores al 5 de noviembre a las 7:26: direcciones de billetera, apodos, avatares, historial de inicio de sesión, la primera mitad de las direcciones de correo electrónico, cuentas de redes sociales vinculadas, además de registros de transacciones de objetos y tokens del juego. No se filtraron nombres reales, teléfonos, domicilios, datos de identidad verificada ni tarjetas bancarias. También revisaron las 328 aplicaciones registradas en el centro para desarrolladores y quedaron expuestas las claves de API, aunque la empresa afirmó que estas claves no permitían mover los activos de los usuarios.
Lo más llamativo es la cronología: entraron la mañana del 5 de noviembre y no se dieron cuenta hasta el mediodía del 12; pasaron siete días. Se cambiaron los servidores por unos nuevos y se revocaron las credenciales. El servicio no podrá restablecerse hasta que se roten todas las claves, y todavía no han dicho cuándo será.
No lo confundas con lo de Keplr de la semana pasada. Entonces, el servicio de inicio de sesión de Web3Auth tuvo problemas y Keplr simplemente dejó de permitir el acceso. Esta vez, alguien entró en los servidores off-chain de la propia empresa. La cadena no fue vulnerada; lo que se comprometió fueron los servidores que gestionan el inicio de sesión del juego y el sitio web.
Para los pequeños inversores, esto significa tres cosas concretas. Primero, la seguridad de la cadena no equivale a la seguridad del proyecto: aunque el contrato no tenga vulnerabilidades, alguien puede instalarse en un servidor durante siete días. Las direcciones de las carteras, los registros de inicio de sesión y la primera parte de las direcciones de correo, combinados, bastan para lanzar campañas de phishing y crear perfiles. Segundo, durante los próximos días, si recibes correos, mensajes privados o enlaces de servicios de recuperación de alguien que dice ser del equipo oficial, no hagas clic; espera a que el equipo publique un aviso de restablecimiento del servicio. Tercero, no uses para las cuentas de correo y redes sociales vinculadas al juego las mismas que usas habitualmente con tu cartera. Cuanto menos se filtre, mejor; que se filtre todo es mucho peor.
La opinión de Xiaokai es que el hecho de que no se haya perdido dinero no significa que no haya pasado nada. Cuando se filtran datos, el phishing resulta más fácil; durante los próximos días, quienes se hagan pasar por el equipo oficial seguramente estarán más activos que los propios hackers.
¿Usas el mismo correo para tu cuenta del juego y tu cartera?
#MapleStory #链游安全 #数据泄露 #Ciberseguridad
— Xiaokai, criptoinversor de Web3
Este contenido solo expresa opiniones personales y no constituye asesoramiento de inversión. Te corresponde evaluar la información por tu cuenta.