Al despertar, me encontré con que UNI había activado el stop loss. Pensé que habría ocurrido alguna señal extrema con el PCE de EE. UU. de anoche, pero al mirar, ¡vaya! Octubre sí que está lleno de acontecimientos. Como investigador independiente, lo primero que hizo Ajian no fue pensar en comprar en la caída, sino analizar y explicar a todos ustedes este incidente de seguridad:
Por ahora, Binance ha revelado un impacto potencial de unos 6.300 millones de dólares (y ya se han congelado activos por unos 3.000 millones). No estamos ante algo que pueda entenderse como un ataque informático corriente. La investigación preliminar apunta a que el ataque podría estar relacionado con la intrusión en el portátil de un ingeniero de DevOps. El problema parece centrarse en las firmas y, por el momento, no se han encontrado pruebas de que se hayan filtrado las claves privadas de las billeteras. cz@CZ y la hermana mayor @Yi He ya se han pronunciado claramente en X: cubrirán todas las pérdidas mediante el fondo SAFU y los fondos de la empresa, y han asegurado que los fondos de los usuarios están a salvo. Personalmente, confío plenamente en la responsabilidad y la capacidad de respuesta de Binance, pero aun así vale la pena hablar del tema con detenimiento.
Primero, hay que subrayar que los 6.300 millones de dólares son la estimación oficial actual del impacto potencial. La investigación sigue en curso, así que no debe equipararse directamente con el monto final confirmado como robado. Lo que realmente debe preocuparnos de este incidente es que el punto vulnerable del ataque quizá no esté en las claves privadas, en el sentido tradicional, sino en el entorno interno de desarrollo y operaciones de la empresa. Tanto Ajian como otros miembros del sector ya han mencionado este problema en varias ocasiones, pero parece que la industria cripto sigue teniendo numerosas vulnerabilidades a la hora de proteger toda la cadena de suministro de software y los sistemas internos de permisos.
Si además tenemos en cuenta el vertiginoso desarrollo de la IA, los límites de seguridad de una plataforma de intercambio son mucho más complejos que los de una dirección de billetera. Un sistema de trading suele incluir, como mínimo, los dispositivos de los desarrolladores, la implementación automatizada mediante CI/CD, los contenedores de servicios en la nube, la autenticación de identidad y la gestión de permisos internos, así como los sistemas de aprobación de retiros y de gestión de riesgos. La pérdida de control de los permisos en cualquiera de estos eslabones podría convertirse en una vía de entrada para un ataque.
Por eso, Ajian considera que un sistema de seguridad verdaderamente maduro para una plataforma de intercambio no puede limitarse a destacar la proporción de fondos en billeteras frías y el aislamiento de las claves privadas. También debe prestar atención al principio de privilegios mínimos, la seguridad de los dispositivos, la detección de operaciones anómalas y la separación de los procesos de retiro. Por supuesto, esta sigue siendo la línea preliminar de investigación de Binance; no se puede afirmar a partir de ella que ya se haya esclarecido toda la cadena del ataque. Tampoco recomiendo que equiparen directamente el riesgo crediticio de la plataforma con los riesgos tecnológicos de la cadena de bloques subyacente.
Eso es todo. DYOR
Por ahora, Binance ha revelado un impacto potencial de unos 6.300 millones de dólares (y ya se han congelado activos por unos 3.000 millones). No estamos ante algo que pueda entenderse como un ataque informático corriente. La investigación preliminar apunta a que el ataque podría estar relacionado con la intrusión en el portátil de un ingeniero de DevOps. El problema parece centrarse en las firmas y, por el momento, no se han encontrado pruebas de que se hayan filtrado las claves privadas de las billeteras. cz@CZ y la hermana mayor @Yi He ya se han pronunciado claramente en X: cubrirán todas las pérdidas mediante el fondo SAFU y los fondos de la empresa, y han asegurado que los fondos de los usuarios están a salvo. Personalmente, confío plenamente en la responsabilidad y la capacidad de respuesta de Binance, pero aun así vale la pena hablar del tema con detenimiento.
Primero, hay que subrayar que los 6.300 millones de dólares son la estimación oficial actual del impacto potencial. La investigación sigue en curso, así que no debe equipararse directamente con el monto final confirmado como robado. Lo que realmente debe preocuparnos de este incidente es que el punto vulnerable del ataque quizá no esté en las claves privadas, en el sentido tradicional, sino en el entorno interno de desarrollo y operaciones de la empresa. Tanto Ajian como otros miembros del sector ya han mencionado este problema en varias ocasiones, pero parece que la industria cripto sigue teniendo numerosas vulnerabilidades a la hora de proteger toda la cadena de suministro de software y los sistemas internos de permisos.
Si además tenemos en cuenta el vertiginoso desarrollo de la IA, los límites de seguridad de una plataforma de intercambio son mucho más complejos que los de una dirección de billetera. Un sistema de trading suele incluir, como mínimo, los dispositivos de los desarrolladores, la implementación automatizada mediante CI/CD, los contenedores de servicios en la nube, la autenticación de identidad y la gestión de permisos internos, así como los sistemas de aprobación de retiros y de gestión de riesgos. La pérdida de control de los permisos en cualquiera de estos eslabones podría convertirse en una vía de entrada para un ataque.
Por eso, Ajian considera que un sistema de seguridad verdaderamente maduro para una plataforma de intercambio no puede limitarse a destacar la proporción de fondos en billeteras frías y el aislamiento de las claves privadas. También debe prestar atención al principio de privilegios mínimos, la seguridad de los dispositivos, la detección de operaciones anómalas y la separación de los procesos de retiro. Por supuesto, esta sigue siendo la línea preliminar de investigación de Binance; no se puede afirmar a partir de ella que ya se haya esclarecido toda la cadena del ataque. Tampoco recomiendo que equiparen directamente el riesgo crediticio de la plataforma con los riesgos tecnológicos de la cadena de bloques subyacente.
Eso es todo. DYOR