Opiniones de la comunidad de #opencode y sentimiento del mercado

Se echó una siesta. Al abrir los ojos por la mañana, tenía cuatrocientos dólares más en la factura.

No escribió ni una línea de código. Ni siquiera encendió el ordenador. Esos cuatrocientos dólares los generaron otros usando su cuenta mientras dormía.

A altas horas de la noche del 17 de octubre, la empresa que desarrolla herramientas de programación de código abierto empezó a enviar correos a quienes las habían usado. El asunto era breve: había que actuar de inmediato. Decía que las claves de un proveedor externo podían haberse filtrado.

El segundo correo llegó de madrugada y especificaba cuáles: OpenAI, Anthropic y Google.

Las personas afectadas representaban el 1,4 % de las cuentas de su panel en línea. No parece mucho. Pero para quienes les tocó, lo era todo.

El problema estaba en un sitio: los atacantes entraron en un sistema antiguo que estaban retirando. La primera actividad que lograron rastrear se remontaba a última hora del día 16, y estas personas no recibieron el primer correo hasta veintidós horas después. Veintidós horas bastan para hacer un montón de llamadas, agotar el saldo y completar todo el proceso antes de que abras los ojos.

¿Dónde estuvo el problema? En un rincón que todos creían haber apagado. ¿Por qué? Porque no figuraba en la lista de nadie y, cuando algo salió mal, a nadie se le ocurrió pensar en él de inmediato.

Mucha gente cree que las claves se adivinan o se obtienen a fuerza de probar. No es así. La mayoría de las filtraciones no requieren descifrarlas. La clave está en un lugar que ya nadie revisa y, aun así, la puerta sigue abierta. La sacas del sistema principal, la marcas como pendiente de retirar y luego te olvidas de que sigue funcionando.

La empresa no ha dado una respuesta clara sobre quién dejó ese sistema antiguo abandonado tanto tiempo sin que nadie se diera cuenta.

Un desarrollador contó que primero recibió una alerta de saldo de Anthropic y después, el aviso de la empresa de herramientas. El orden fue al revés. Quien te cobra se dio cuenta antes que quien te factura. A alguien le gastaron doscientos euros en Google Cloud y le suspendieron el proyecto por uso indebido. Otra persona dijo que se le había agotado el saldo mensual de veinte dólares.

Sobre si devolverán el dinero, la empresa solo dijo que está hablando con las tres compañías. No suena precisamente a una promesa. Tampoco está claro si los datos se usaron para entrenar otros modelos. A esto lo llaman un ataque de destilación a gran escala; habrá que esperar a la investigación para saber si esa descripción se sostiene.

En el mundo cripto, esta historia resulta familiar.

Tu cartera tiene un montón de autorizaciones activas. En 2021, algún sitio ofrecía una autorización ilimitada. La aprobaste para intentar entrar en una lista blanca; te sentiste muy rápido al hacerlo y al día siguiente ya habías olvidado cómo se llamaba el sitio. Pero la dirección de aquel contrato seguía ahí, asociada a tu cartera, esperando a que alguien llamara a la puerta. En aquel momento ni se te pasó por la cabeza revocarla.

El proyecto ya había desaparecido. La autorización seguía ahí. Tú no te acuerdas. La cadena sí.

Es lo mismo que guardar una clave en un panel de administración que ya se ha dado de baja.

El año pasado, alguien sustituyó una versión de un componente web muy usado para conectar carteras. En apenas unas horas, vaciaron las carteras de varias personas; ni siquiera tuvieron tiempo de denunciarlo. Nadie lo descifró. Simplemente sustituyeron una versión por otra. Ni te habrías dado cuenta. Cuando firmaste, la interfaz seguía mostrándote el mismo mensaje de siempre.

Llevo bastante tiempo dándole vueltas a esto. La seguridad no debería medirse según lo nuevo que sea algo. A las cosas nuevas las vigilan a diario; a las viejas, nadie. En realidad, es así de simple. Los sistemas que están a medio retirar son los más peligrosos: ya no aparecen en la lista de mantenimiento, pero aún no están del todo muertos. Todo el mundo cree que desaparecerán por sí solos.

¿Y qué puedes hacer? Algo concreto: abre tu cartera y ve hasta la primera página de la lista de autorizaciones. Si ves alguna que no reconoces, revócala. Si te registraste en un exchange hace tres años y ya ni recuerdas la contraseña, entra y elimina por completo las claves de API, sobre todo las que permiten retirar fondos. Escribe la frase semilla a mano; no le saques una foto para guardarla en el móvil.

No te llevará ni diez minutos.

Diez minutos para cerrar una puerta que probablemente ya habías olvidado.

Vale mucho la pena.

$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #cripto

opencode

El OPEN Bridge Podría Matar el Riesgo de Wrapper — Pero Hay un Pero

Temas populares