El reciente incidente de seguridad de Binance, que involucró 6.300 millones de dólares, ha desplazado la atención de las cifras de pérdidas destacadas hacia una pregunta más técnica: ¿qué permitió hacer exactamente a los atacantes la arquitectura de billeteras del exchange y cuánto dependió el daño de los controles internos en torno a sus billeteras calientes?
En comentarios del 30 de octubre, Richard Teng, codirector ejecutivo de Binance, dijo que el ataque tuvo como objetivo la propia billetera caliente del exchange. Describió una estructura de custodia en la que la mayoría de los activos de los clientes se mantienen fuera de línea en almacenamiento en frío y solo se trasladan a billeteras calientes para procesar retiros cuando los usuarios los solicitan. Sin embargo, los analistas advierten que los datos públicos de la cadena de bloques no permiten determinar por completo cuán seguros eran los procesos de autorización y limitación de esos retiros una vez que un atacante obtuvo acceso.
Conclusiones clave
Binance afirmó que los atacantes afectaron a su propia cartera caliente, mientras que la mayoría de los fondos de los clientes suele mantenerse en almacenamiento en frío, sin conexión, y se reponen fondos para cubrir los retiros.
Los datos de transacciones de la blockchain pueden mostrar qué se movió, pero no pueden confirmar los controles internos de firma y aprobación que regían esas transferencias.
Jonathan Riss, analista de CertiK, afirmó que los daños potenciales dependen de lo que el sistema de firmas permita a lo largo del tiempo, no solo de los saldos de las carteras en un momento concreto.
Fireblocks y otros responsables de seguridad afirmaron que las plataformas de intercambio suelen mantener liquidez en carteras calientes para cubrir los retiros previstos, normalmente un porcentaje bajo de un solo dígito, aunque el diseño exacto varía.
El informe inicial del incidente de Binance indicó que los atacantes obtuvieron acceso a un servicio interno de firma de carteras, pero la plataforma afirmó que algunos detalles técnicos seguirían siendo confidenciales.
Lo que Binance dice que ocurrió y lo que sigue sin estar claro
Según las declaraciones de Teng del 30 de octubre, el incidente afectó a la cartera caliente propia de Binance, no a la mayor parte de los activos almacenados sin conexión. Esta distinción tiene importantes implicaciones prácticas para inversores y usuarios: si el almacenamiento en frío permaneció intacto, es posible que el incidente refleje principalmente cómo se abastecían las carteras calientes y cómo se autorizaban los retiros durante el período del ataque.
El informe inicial del incidente de Binance (publicado el martes) aportó otra pista. Indicó que los atacantes accedieron a un servicio interno de firma de carteras que permitía transferir fondos fuera del proceso normal de retiro de la plataforma. También señaló que no divulgaría algunos detalles técnicos, pues hacerlo podría facilitar nuevos ataques.
Binance no respondió a las preguntas de seguimiento de Cointelegraph sobre los saldos de las carteras y las medidas de protección, lo que deja una importante incógnita: cómo estaba estructurado el entorno de firma para prevenir o ralentizar transferencias no autorizadas, y si había varias capas de autorización.
Por qué las «pruebas» de la blockchain no zanjan el debate sobre el control de las carteras
Aunque se ha informado ampliamente de una cifra total de 6.300 millones de dólares, los analistas afirman que no basta para entender la exposición. Jonathan Riss, analista de CertiK, explicó que la cifra se refiere al valor acumulado de los activos afectados en 10 blockchains. En Ethereum, concretamente, afirmó que los atacantes vaciaron repetidamente una cartera caliente a medida que llegaban nuevos depósitos, lo que apunta a un proceso dinámico, no a un único retiro puntual.
Riss destacó que el saldo que aparece en la cadena en un momento determinado es solo una parte de la historia. Si un atacante obtiene firmas válidas, su capacidad para vaciar fondos depende de la arquitectura de firma de las carteras, en especial de los permisos de firma y de los límites temporales existentes.
También señaló un problema de control que resulta importante cuando interactúan varios sistemas. Si los límites de las transacciones solo los aplica la aplicación que solicita las firmas, un atacante que comprometa esa aplicación podría eludir esas comprobaciones. En cambio, los límites aplicados directamente por el sistema de firma podrían seguir restringiendo los retiros incluso después de que un atacante obtuviera acceso al software que lo alimenta.
Desde fuera, afirmó, es difícil comparar las plataformas de intercambio de manera justa. La información pública sobre la arquitectura interna de firma es limitada en todo el sector. Las pruebas de reservas y las certificaciones de reservas pueden indicar dónde se encuentran los activos, pero no necesariamente demuestran cómo se autorizaron los retiros ni qué restricciones se aplicaron durante una vulneración. Eugene Hahr, director de producto de BitGo, también se abstuvo de especular sobre las medidas de protección internas de Binance y afirmó que Binance está en mejor posición para responder cómo se distribuyen sus acuerdos de custodia.
¿Cuánta liquidez debería haber en las carteras calientes?
La pregunta más amplia que plantea el incidente de Binance no es simplemente «¿qué tamaño tiene la cartera caliente?», sino «¿qué se le permite hacer?». Idan Ofrat, cofundador y director de producto de Fireblocks, afirmó que las plataformas de intercambio suelen mantener en carteras calientes fondos suficientes para cubrir unos días de retiros previstos. Según explicó, eso suele equivaler a un porcentaje bajo de un solo dígito de los activos gestionados, mientras que la mayor parte del valor de los clientes se guarda en instalaciones de almacenamiento en frío.
Ofrat también describió las diferencias en la forma en que las plataformas gestionan las capas intermedias. Algunas utilizan carteras intermediarias que requieren aprobación manual antes de transferir fondos a las carteras calientes, lo que añade fricción y ayuda a limitar la velocidad de cualquier movimiento no autorizado.
Otros participantes del mercado subrayaron que los saldos elevados en carteras calientes no son automáticamente señal de mala gestión. Alex Tobol, director de tecnología de Walt, una cartera de criptomonedas basada en Telegram, afirmó que para una plataforma del tamaño de Binance puede ser normal mantener miles de millones en carteras calientes. Según sugirió, la diferencia fundamental está en si los retiros pueden procesarse automáticamente durante una vulneración o si reponer la liquidez de las carteras calientes desde el almacenamiento en frío requiere decisiones de tesorería independientes y aprobación manual.
Hahr señaló medidas de control que pueden limitar las pérdidas cuando un sistema se ve comprometido, incluidos los límites a las transacciones, las restricciones sobre las direcciones de retiro aprobadas y requisitos de autorización adicionales antes de firmar y transmitir los fondos.
Presión del sector tras el ataque
Binance no opera en el vacío. Tras el incidente, varios competidores han divulgado públicamente detalles sobre sus proporciones de almacenamiento en frío, entre ellos Coinbase, Gate y Upbit, según la cobertura citada por Cointelegraph. Este cambio refleja la rapidez con que los incidentes de seguridad pueden redefinir lo que usuarios y reguladores consideran una divulgación «básica»: no solo cuánto posee una plataforma, sino también cómo se relaciona esa estructura con el riesgo en una emergencia.
Aun así, el caso de Binance pone de relieve una limitación de este tipo de divulgaciones. Los porcentajes de almacenamiento en frío pueden ayudar a describir la distribución de las reservas, pero no revelan cómo funcionan en la práctica los servicios de firma de carteras; en particular, no aclaran si los límites se aplicaban en un punto que los atacantes podían eludir, ni si las aprobaciones y las restricciones de direcciones eran lo bastante estrictas como para ralentizar las transferencias.
Para quienes intentan entender las verdaderas lecciones del incidente de Binance, los puntos clave que conviene seguir son si los investigadores y Binance ofrecen más detalles sobre los permisos del servicio de firma, cómo se aplicaban los límites a las transacciones (en la aplicación o en el sistema de firma) y qué controles compensatorios —si los había— debían impedir transferencias no autorizadas una vez obtenido el acceso.
Este artículo se publicó originalmente con el título «El hackeo de 6.300 millones de dólares a Binance pone bajo escrutinio los controles de seguridad de las carteras calientes» en Crypto Breaking News, tu fuente de confianza de noticias sobre criptomonedas, Bitcoin y actualizaciones de blockchain.