En este incidente de seguridad de Binance, creo que hay un detalle que merece más reflexión que el traslado de activos por valor de decenas de miles de millones de dólares.
No se ha confirmado que la clave privada se filtrara, pero los atacantes lograron transferir los activos. ¿Cómo lo hicieron exactamente?
En pocas palabras, este incidente podría haber dejado al descubierto un problema que muchos tienden a pasar por alto: la mayor vulnerabilidad de seguridad de un exchange no tiene por qué estar en la wallet, sino que podría estar fuera de ella.
Según la divulgación preliminar de Binance, el ataque podría haber comenzado con la intrusión en el portátil de un ingeniero de DevOps y luego haberse extendido a los contenedores de servicios internos y al proceso de retiro.
Después, GCSA realizó un análisis forense on-chain y revisó 18 transacciones originales, 50 firmas de autorización iniciales de EIP-7702 y una firma de revocación de autorización.
Hay un detalle técnico que merece atención: una transacción Type-4 puede incluir 50 autorizaciones, pero eso no significa que las 50 se hayan activado. Que una firma sea válida tampoco significa que hayan robado la clave privada.
El informe también rastreó tres transacciones consecutivas vinculadas a MetaMask Gas Station y descubrió que el importe de la recarga de ETH anterior coincidía exactamente con el presupuesto máximo de gas de las dos transacciones posteriores.
En cuanto a las afirmaciones de que los atacantes seleccionaron USDT por error o de que MetaMask conocía la IP real, por ahora no hay pruebas suficientes que las respalden.
TRM Labs vinculó el incidente con un alto grado de confianza al grupo de amenazas TraderTraitor, relacionado con Corea del Norte, pero eso no significa que se hayan reconstruido por completo la identidad de los atacantes y su método de operación.
Siempre he pensado que la seguridad de un exchange no puede centrarse únicamente en las wallets frías, las firmas múltiples y las claves privadas.
Los ordenadores de los empleados, los permisos internos, los entornos de DevOps, los servicios de firma, la aprobación de retiros e incluso la infraestructura de terceros: si falla cualquiera de estos eslabones, todo el sistema de seguridad de los activos puede quedar reducido a nada.
Además, una estimación del impacto del incidente de unos 6.300 millones de dólares no equivale a la pérdida neta final, y congelar los activos no equivale a recuperarlos.
Lo que realmente debería llevar a todo el sector a reflexionar es que, si los atacantes pueden movilizar activos sin necesidad de obtener directamente la clave privada, quizá los límites de seguridad de los exchanges tal como los entendíamos hasta ahora ya no sean suficientes.
No se ha confirmado que la clave privada se filtrara, pero los atacantes lograron transferir los activos. ¿Cómo lo hicieron exactamente?
En pocas palabras, este incidente podría haber dejado al descubierto un problema que muchos tienden a pasar por alto: la mayor vulnerabilidad de seguridad de un exchange no tiene por qué estar en la wallet, sino que podría estar fuera de ella.
Según la divulgación preliminar de Binance, el ataque podría haber comenzado con la intrusión en el portátil de un ingeniero de DevOps y luego haberse extendido a los contenedores de servicios internos y al proceso de retiro.
Después, GCSA realizó un análisis forense on-chain y revisó 18 transacciones originales, 50 firmas de autorización iniciales de EIP-7702 y una firma de revocación de autorización.
Hay un detalle técnico que merece atención: una transacción Type-4 puede incluir 50 autorizaciones, pero eso no significa que las 50 se hayan activado. Que una firma sea válida tampoco significa que hayan robado la clave privada.
El informe también rastreó tres transacciones consecutivas vinculadas a MetaMask Gas Station y descubrió que el importe de la recarga de ETH anterior coincidía exactamente con el presupuesto máximo de gas de las dos transacciones posteriores.
En cuanto a las afirmaciones de que los atacantes seleccionaron USDT por error o de que MetaMask conocía la IP real, por ahora no hay pruebas suficientes que las respalden.
TRM Labs vinculó el incidente con un alto grado de confianza al grupo de amenazas TraderTraitor, relacionado con Corea del Norte, pero eso no significa que se hayan reconstruido por completo la identidad de los atacantes y su método de operación.
Siempre he pensado que la seguridad de un exchange no puede centrarse únicamente en las wallets frías, las firmas múltiples y las claves privadas.
Los ordenadores de los empleados, los permisos internos, los entornos de DevOps, los servicios de firma, la aprobación de retiros e incluso la infraestructura de terceros: si falla cualquiera de estos eslabones, todo el sistema de seguridad de los activos puede quedar reducido a nada.
Además, una estimación del impacto del incidente de unos 6.300 millones de dólares no equivale a la pérdida neta final, y congelar los activos no equivale a recuperarlos.
Lo que realmente debería llevar a todo el sector a reflexionar es que, si los atacantes pueden movilizar activos sin necesidad de obtener directamente la clave privada, quizá los límites de seguridad de los exchanges tal como los entendíamos hasta ahora ya no sean suficientes.