Por Angel Di Matteo   𝕏 @shadowargel

Aunque los ataques contra proyectos de criptomonedas suelen atribuirse a fallas en la tecnología blockchain, especialistas en ciberseguridad sostienen que el verdadero punto débil sigue siendo la gestión de las claves privadas. Cerca del 40% de las pérdidas históricas por hackeos se han producido por este tipo de compromisos y no por vulnerabilidades en los protocolos.

***

  • Casi el 40% de los fondos robados en criptomonedas provienen del compromiso de claves privadas.
  • Expertos afirman que la criptografía de blockchain sigue siendo sólida; el problema está en la gestión operativa.
  • Los ataques apuntan cada vez más a servidores, empleados y herramientas externas, en lugar de contratos inteligentes.
  • La industria impulsa nuevas soluciones como MPC, Account Abstraction y firmas distribuidas para reducir el riesgo.

 

Los multimillonarios robos que afectan al ecosistema cripto casi a diario han instalado la percepción de que la tecnología blockchain presenta graves vulnerabilidades. Sin embargo, los datos muestran una realidad distinta: el problema suele estar fuera de la propia red.

Según indica un reporte publicado por DeFiLlama, reseñado por CoinDesk, el ecosistema ha perdido aproximadamente USD $16.690 millones por hackeos, ataques a puentes entre cadenas y explotaciones de protocolos DeFi. Cerca del 40% de esas pérdidas corresponde a incidentes en los que los atacantes obtuvieron acceso a claves privadas, no a vulnerabilidades en la blockchain o en los contratos inteligentes. En otras palabras, la infraestructura permanece segura, pero las credenciales que permiten mover los fondos terminan comprometidas.

El problema está en la gestión de las claves

Cada billetera de criptomonedas posee una clave pública —equivalente al número de una cuenta bancaria— y una clave privada, que funciona como una contraseña y permite autorizar todas las transacciones. A diferencia de una contraseña tradicional, una clave privada no puede restablecerse: quien la posee controla completamente los activos asociados.

Para CertiK, una de las principales firmas de auditoría del sector, esta realidad explica por qué los atacantes han cambiado de estrategia. “Los incidentes relacionados con la seguridad operativa están aumentando mientras disminuyen las vulnerabilidades en contratos inteligentes. Los atacantes suelen dirigirse al eslabón más débil”, explicó la compañía.

Los especialistas clasifican estos incidentes en dos grandes grupos: aquellos donde los delincuentes consiguen descubrir la clave mediante distintos métodos y aquellos donde la clave termina filtrándose por errores operativos, sin que siempre pueda determinarse exactamente cómo ocurrió.

No falla la criptografía, falla la operación

Para Le Fan, fundador y CEO de Cysic, el problema no reside en la tecnología criptográfica que protege a las redes blockchain. “Los ataques a claves privadas no representan un fracaso de la criptografía, sino un fracaso en la gestión de las claves. Las matemáticas que protegen estas redes siguen siendo prácticamente irrompibles”, afirmó.

El riesgo aparece cuando las claves comienzan a utilizarse. Mientras permanecen aisladas prácticamente no existe posibilidad de robo, pero al almacenarlas en servidores, servicios en la nube o aplicaciones conectadas a Internet, pasan a depender de una compleja infraestructura compuesta por software, proveedores externos y operadores humanos. Es precisamente ese entorno operativo donde suelen producirse las filtraciones.

Una arquitectura que amplía la superficie de ataque

Según Wish Wu, cofundador y CEO de Pharos, buena parte del problema proviene del modelo con el que fueron diseñadas muchas infraestructuras blockchain. Durante años predominó un esquema donde una única clave privada controlaba completamente una billetera, de modo que si esa credencial era comprometida, todos los fondos podían desaparecer instantáneamente.

Wu considera que este enfoque contrasta con las prácticas habituales del sistema financiero tradicional, donde existen múltiples aprobaciones, separación de funciones y varias capas de seguridad. Además, advierte que la superficie de ataque ha crecido considerablemente: hoy los delincuentes pueden acceder a las claves comprometiendo servicios en la nube, herramientas de terceros, cuentas de correo, redes sociales corporativas o incluso mediante ingeniería social dirigida a los propios empleados.

El ataque contra Bybit en febrero de 2025 ilustra esta tendencia. En aquella ocasión, los atacantes comprometieron la cadena de suministro de una herramienta utilizada por terceros e introdujeron código malicioso que llevó a ejecutivos de la plataforma a firmar involuntariamente transacciones por aproximadamente USD $1.500 millones en Ethereum.

La industria busca eliminar el punto único de fallo

Para reducir estos riesgos, el sector está impulsando tecnologías que eliminan la dependencia de una única clave privada. Entre ellas destacan las billeteras basadas en Multi-Party Computation (MPC) y los sistemas de firmas distribuidas, donde la clave nunca existe completa en un solo lugar y varias partes deben colaborar para autorizar una transacción.

A ello se suma Account Abstraction, tecnología que convierte las cuentas en contratos inteligentes capaces de incorporar límites de gasto, listas blancas de direcciones autorizadas y mecanismos de recuperación mediante guardianes de confianza. Así, incluso si una credencial resulta comprometida, un atacante no puede vaciar automáticamente la billetera.

Para Wu, sin embargo, ninguna herramienta sustituye una estrategia integral. En su opinión, la industria debe dejar de tratar la seguridad como una auditoría puntual y convertirla en una práctica permanente que abarque el desarrollo, la operación y la capacitación de las personas que administran estos sistemas, ya que el factor humano continúa siendo la primera línea de defensa y, con frecuencia, la más vulnerable.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados