Por Canuto  

Una brecha en BasedApp dejó expuestos datos personales vinculados a direcciones de billeteras cripto. El incidente alimenta las objeciones de Recap a una propuesta que daría a HMRC más facultades para exigir registros a empresas del sector sin autorización judicial.
***

  • BasedApp informó que un intruso accedió a sus sistemas internos y expuso datos de identidad, contacto, domicilio y direcciones de billeteras de clientes.
  • La propuesta de HMRC permitiría exigir registros a proveedores de servicios relacionados con criptoactivos sin aprobación de un tribunal, consentimiento del contribuyente ni derecho de apelación.
  • Recap pide limitar la recopilación de datos y exigir supervisión judicial, ante el riesgo de que una filtración vincule identidades con patrimonio cripto.

Hackeo de BasedApp reaviva el debate por el acceso de HMRC a datos cripto

La plataforma BasedApp informó que un intruso accedió a sus sistemas internos y expuso información personal de clientes vinculada a sus direcciones de billeteras cripto. El incidente, reportado el 8 de octubre, vuelve a poner bajo escrutinio una propuesta de HM Revenue and Customs (HMRC), la autoridad fiscal británica, para ampliar su capacidad de exigir registros a empresas del sector.

El debate no se limita a la seguridad informática de una compañía: también gira en torno a quién puede reunir datos que conectan una identidad con actividad financiera rastreable. La firma británica de impuestos cripto Recap sostiene que ampliar las facultades de recopilación sin controles judiciales podría multiplicar los riesgos que una filtración como esta pone de manifiesto.

Qué información quedó expuesta

Según los datos divulgados por BasedApp, el acceso no autorizado afectó a su sistema interno de operaciones y dejó expuestos registros con nombres, fechas de nacimiento y nacionalidades. También figuraban direcciones de vivienda, correos electrónicos, números telefónicos y números de pasaporte o de identificación nacional de Singapur, todos asociados con direcciones de billeteras de clientes.

La combinación de esos elementos es especialmente delicada porque une datos que identifican a una persona con direcciones desde las que puede observarse actividad en una blockchain. Cryptopolitan señaló que la compañía no ha precisado cuántos usuarios resultaron afectados ni ha informado si alguien movió fondos; por tanto, la exposición de registros no permite afirmar que las billeteras hayan sido vaciadas.

La escala potencial del incidente tampoco está clara. BasedApp habría recaudado USD $11,5 millones en una ronda Serie A liderada por Pantera Capital y la empresa dijo que había superado los 100.000 usuarios registrados, pero esas cifras no indican cuántas personas quedaron involucradas en la brecha.

La información personal vinculada a una dirección cripto puede elevar el peligro incluso cuando no incluye claves privadas ni permite acceder directamente a los activos. Una dirección puede servir como punto de partida para seguir movimientos públicos y, junto con un nombre o domicilio, facilitar intentos de fraude, extorsión o amenazas físicas, aunque la fuente no confirmó que esos daños hayan ocurrido en este caso.

La propuesta de HMRC y las objeciones de Recap

HMRC publicó el 13 de julio un proyecto para modificar sus poderes de información e inspección previstos en el Anexo 36. La iniciativa forma parte de los documentos del Finance Bill 2026-27 y abrió una consulta técnica que cerró el 7 de septiembre; según el proyecto, el cambio podría entrar en vigor después de la sanción real prevista para la primavera de 2027.

La propuesta permitiría a la autoridad emitir requerimientos obligatorios de registros a cualquier persona que preste servicios relacionados con criptoactivos. Ben Shepheard, director de tecnología de Recap, advirtió que esa definición podría abarcar a desarrolladores de software de billeteras, exploradores de bloques, proveedores de datos y fabricantes de billeteras de hardware, incluso si no custodian activos de sus clientes.

Recap también cuestiona el procedimiento contemplado en el borrador: los requerimientos no necesitarían aprobación de un tribunal ni consentimiento del contribuyente, y la notificación no podría apelarse. La empresa considera que ese alcance sería más amplio que el de las reglas británicas existentes vinculadas al Cryptoasset Reporting Framework, por lo que pide aclarar quiénes quedarían sujetos y bajo qué condiciones.

El argumento de Recap no rechaza únicamente la recopilación de información con fines tributarios, sino que pone el foco en la cantidad y sensibilidad de los datos que podrían concentrarse. La firma pide que HMRC no considere razonablemente requeridas las tenencias actuales de los usuarios ni sus direcciones de billetera cuando los registros históricos de ventas basten para obtener la información necesaria, y solicita que un juez autorice cualquier requerimiento.

Filtraciones y riesgos para los titulares

Para respaldar sus reparos, Recap citó varios incidentes de seguridad relacionados con información financiera o personal. Entre ellos mencionó un caso de 2024 en el que un empleado de la administración fiscal francesa presuntamente vendió nombres, domicilios y saldos de billeteras de titulares de cripto declarados; la acusación se refiere a un hecho reportado, no a una conclusión sobre responsabilidad judicial.

La empresa también aludió a una brecha de enero de 2026 en Waltio, proveedor francés de software para impuestos cripto. En ese incidente quedaron expuestos datos sobre ganancias, pérdidas y saldos de 50.000 usuarios, y después un grupo de hackers envió demandas de rescate, un ejemplo de cómo la información tributaria puede convertirse en un objetivo para extorsionadores.

Otros episodios citados en la cobertura muestran que las filtraciones pueden afectar a distintas partes del ecosistema. En septiembre se vinculó a IDScan.net con una colección anunciada en un foro de ciberdelincuencia que contenía más de 170 millones de documentos de identidad; Coinbase, por su parte, reveló que un actor de amenazas sobornó a contratistas de soporte en el extranjero para extraer datos de clientes, incluidas imágenes de pasaportes y licencias de conducir.

También se reportó una filtración en ShipMonk, socio de logística de Trezor, que habría afectado a aproximadamente 80.700 usuarios y expuesto una lista con nombres y direcciones de vivienda. Cryptopolitan ha seguido el aumento de los llamados ataques con llave inglesa, en los que agresores recurren a la violencia o al secuestro para obligar a sus víctimas a transferir criptomonedas; en Francia se registraron 77 casos o intentos vinculados a cripto hasta fines de junio, frente a 45 durante todo 2025.

En Reino Unido, Crimestoppers ofreció GBP £10.000 por información sobre una invasión de vivienda ocurrida en diciembre de 2025 cerca de Birmingham. Ese antecedente no demuestra una relación entre una filtración de datos y cada ataque, pero ayuda a explicar por qué los defensores de la privacidad consideran riesgoso vincular identidades, domicilios y actividad en billeteras dentro de sistemas que pueden ser vulnerados.

La discusión inmediata pasa por la redacción final de la propuesta y por las garantías que podrían incorporarse antes de que avance el proceso legislativo. Recap quiere límites expresos sobre la información que HMRC puede solicitar y autorización judicial para emitir notificaciones, mientras BasedApp aún no ha comunicado cuántos usuarios fueron afectados ni si hubo movimientos de fondos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados