La primera vez que leí esta noticia me costó un poco entenderla. Web3Auth afirma que se adelantó al hacker y trasladó 5,6 millones de dólares desde billeteras Keplr que ya estaban expuestas. Pero en el mismo comunicado público también aparece el término «original attacker», es decir, «atacante original». Esto probablemente significa que parte del dinero ya había sido robada, aunque el equipo oficial no dio muchos detalles.🧐
Primero, aclaremos qué es un «sombrero blanco». Puedes imaginarlo como un cerrajero que sabe abrir cerraduras, pero elige llamar a la policía. El problema es que, en la cadena, que un sombrero blanco se adelante y que un hacker saquee los fondos se ve exactamente igual: en ambos casos, los fondos se transfieren en una serie de operaciones, y la diferencia depende casi por completo de las explicaciones que se den después. Así que lo que realmente hay que vigilar no es la cantidad, sino quién actuó primero. A alguien de fuera le resulta muy difícil saberlo directamente a partir de la cadena.
Para los usuarios comunes, lo que realmente debería preocuparles es la exposición de la billetera en sí. Keplr es una de las billeteras más utilizadas del ecosistema Cosmos. Puedes entender la clave privada como la única llave de tu casa; y la «autorización» equivale a darle a una aplicación una llave de repuesto para que pueda hacer cosas por ti. Si algo le pasa a la llave principal o a la de repuesto, los activos $ATOM, $OSMO y $TIA quedan expuestos al mismo riesgo. En pocas palabras, es poner todos los huevos en la misma cesta.
Al principio tampoco esperaba encontrarme con un relato de rescate «parcialmente exitoso»: no se recuperó todo, pero tampoco se perdió todo; se trasladó la mayor parte antes que la otra parte, y al mismo tiempo se reconoció la existencia de un «atacante original». Esta ambigüedad no favorece a la comunidad: cuanto más tarde se divulga la información, más difícil les resulta a los usuarios decidir si deberían cambiar de billetera o revocar esas «llaves de repuesto» que habían concedido.
En la práctica, mi recomendación es no esperar a que el equipo oficial emita un veredicto. Revisa las autorizaciones de tu billetera y traslada a una billetera fría las posiciones que lleven mucho tiempo inactivas (puedes entenderla como una caja fuerte sin conexión a Internet). No acumules activos de ecosistemas como INJ y SEI en una billetera caliente que está conectada a Internet todo el tiempo. Son cosas que puedes hacer ahora mismo.
¿Cambiarían de billetera o revocarían autorizaciones a raíz de esta noticia? El contenido anterior no constituye asesoramiento de inversión.