De Binance a Nubank: una semana de sobresaltos para la seguridad cripto

El ecosistema de criptomonedas atravesó una semana marcada por robos multimillonarios, filtraciones de información, amenazas de hackeo y suspensiones de servicios. Binance, Chainalysis, GOPAX, Gnosis Pay, SignalPlus y Nubank protagonizaron episodios distintos que dejaron al descubierto una pregunta cada vez más relevante: ¿hasta qué punto depende la seguridad cripto de proveedores externos, credenciales compartidas y servicios que escapan a su control directo?

La última semana dejó una sucesión de acontecimientos que puso a prueba la infraestructura del ecosistema cripto. Desde el robo multimillonario contra Binance hasta la suspensión de transferencias en Nubank, empresas dedicadas al intercambio, análisis Blockchain, trading y pagos tuvieron que responder a incidentes que afectaron diferentes componentes de sus operaciones.

No todas sufrieron hackeos confirmados, ni todos los episodios provocaron pérdidas económicas. Algunos comprometieron activos, otros expusieron información personal y varios obligaron a desconectar servicios como medida preventiva. Tampoco existe evidencia de que respondieran a una campaña coordinada. Sin embargo, vistos en conjunto, los acontecimientos revelan que la seguridad de una plataforma depende de mucho más que proteger sus billeteras y servidores.

La cadena de proveedores tecnológicos, conexiones mediante API, herramientas utilizadas por empleados y servicios externos de verificación se ha convertido en una parte fundamental de la infraestructura financiera digital. Cuando alguno de esos componentes falla, las consecuencias pueden extenderse a empresas y usuarios que nunca fueron objetivos directos de un ataque.

Binance: un robo récord que comenzó mucho antes del ataque

El incidente de mayor impacto se produjo el 29 de octubre, cuando Binance sufrió una intrusión que comprometió activos valorados en aproximadamente USD $6.340 millones. Aunque el ataque ocurrió al cierre de la semana anterior, sus consecuencias y las revelaciones sobre su funcionamiento dominaron la agenda entre el 30 de octubre y el 6 de noviembre.

Como informó DiarioBitcoin en su cobertura sobre la investigación de Binance, la operación no comenzó con una simple vulnerabilidad en una billetera. Según el informe preliminar del exchange, los atacantes desarrollaron una campaña de varios meses que incluyó falsas entrevistas laborales, software de desarrollo malicioso y el compromiso de herramientas internas de inteligencia artificial.

La investigación describe cómo un atacante logró acceder a equipos de ingenieros, obtener credenciales de despliegue y ejecutar código que terminó alcanzando el servicio responsable de autorizar operaciones de las billeteras. Posteriormente, utilizó el mecanismo EIP-7702 de Ethereum para establecer permisos de delegación que permitieron continuar moviendo activos incluso después de suspenderse los retiros normales.

El FBI atribuyó el ataque a actores vinculados con Corea del Norte. Binance, por su parte, aseguró que absorbería las pérdidas de sus clientes y comunicó que, al 3 de noviembre, había repuesto el 98% de los activos afectados, mientras aproximadamente USD $2.850 millones habían sido congelados o interceptados. Estas cifras corresponden a momentos y categorías diferentes del proceso de recuperación.

El episodio dejó una advertencia importante para los operadores: proteger una billetera mediante sistemas avanzados de custodia no basta si los atacantes consiguen manipular las herramientas, credenciales y procedimientos que autorizan sus operaciones.

Chainalysis: cuando la empresa que vigila las transacciones también es atacada

La segunda historia involucró a Chainalysis, una de las principales compañías de inteligencia Blockchain, cuyos servicios permiten a exchanges, instituciones financieras y autoridades rastrear transacciones y detectar posibles operaciones ilícitas.

El 30 de octubre, DiarioBitcoin informó que Chainalysis había confirmado una brecha de seguridad. Inicialmente, la compañía reconoció que un atacante había accedido a información de clientes mediante técnicas ofensivas basadas en agentes de inteligencia artificial, aunque aseguró que no había encontrado indicios de exposición de contraseñas ni de contenido de investigaciones.

Sin embargo, las actualizaciones posteriores revelaron un alcance mayor. El 4 de noviembre, Chainalysis reconoció que nombres, identificadores de usuario, hashes de contraseñas y tokens activos de todos sus usuarios habían quedado expuestos. También informó sobre un ataque de intermediación, denominado on-path, que comprometió contraseñas de algunos clientes y sobre actividad sospechosa en cuentas de su herramienta Know Your Transaction (KYT).

La empresa desconectó temporalmente productos como Reactor, Data Solutions y los servicios de monitoreo KYT y verificación de direcciones. En su actualización oficial del 6 de noviembre, anunció el inicio de una restauración gradual de KYT y Address Screening, bajo controles adicionales que incluyen listas de direcciones IP autorizadas, restablecimiento de contraseñas y renovación de claves API.

Chainalysis sostuvo que no encontró evidencia de manipulación de sus datos de atribución Blockchain ni de acceso al contenido de investigaciones. También aclaró expresamente que el incidente no estaba relacionado con el robo sufrido por Binance.

SignalPlus: una invitación falsa y el riesgo de las claves API

Otro incidente dejó al descubierto la vulnerabilidad de las conexiones entre plataformas. SignalPlus, proveedor de herramientas de trading de derivados, informó que sufrió un ataque que ocasionó pérdidas inferiores a USD $82.000 y afectó a un pequeño grupo de cuentas.

Según la investigación recogida por DiarioBitcoin, el ataque comenzó cuando un delincuente comprometió la cuenta de Telegram de un contacto relacionado con un proveedor tecnológico. Desde allí envió una invitación falsa a una reunión de Microsoft Teams, consiguiendo comprometer el computador de un ingeniero de SignalPlus.

El intruso aprovechó posteriormente los permisos del empleado para acceder a sistemas internos. La empresa detectó actividad sospechosa el 4 de noviembre y afirmó que las cuentas afectadas no tenían habilitada una lista blanca de direcciones IP, una medida que limita desde dónde pueden utilizarse determinadas credenciales.

Como respuesta, Binance revocó las claves API vinculadas a SignalPlus, medida que también adoptó Deribit. Ambas plataformas aseguraron que sus sistemas internos no habían sido comprometidos por este incidente, mientras SignalPlus anunció reembolsos para los usuarios afectados.

La distinción es importante. Una API permite conectar aplicaciones externas con una cuenta de intercambio y, dependiendo de sus permisos, ejecutar órdenes sin ingresar directamente en el exchange. Por ello, una intrusión en una herramienta de terceros puede comprometer operaciones incluso cuando la infraestructura principal de la plataforma permanece intacta.

Gnosis Pay: los fondos pueden permanecer seguros mientras se filtran datos

La exposición de información personal fue el problema central de otro episodio, esta vez relacionado con Gnosis Pay, proveedor de servicios de tarjetas vinculadas a criptomonedas.

Según la cobertura publicada por DiarioBitcoin este 6 de noviembre, la empresa detectó el 3 de noviembre un acceso no autorizado a su plataforma de consumo e inició labores de contención en menos de dos horas.

Gnosis Pay afirmó que los fondos de sus usuarios permanecieron seguros y que la intrusión no afectó su plataforma empresarial. Sin embargo, reconoció que terceros accedieron a información de clientes, sin revelar públicamente cuántas personas resultaron afectadas ni precisar la naturaleza de todos los datos comprometidos.

La compañía sustituyó credenciales comprometidas, corrigió la vulnerabilidad detectada e hizo obligatorio el uso de 3D Secure para compras en línea. También advirtió sobre posibles intentos de suplantación y mensajes fraudulentos dirigidos a clientes.

El episodio ilustra una diferencia fundamental entre proteger activos y proteger identidades. Aunque un atacante no consiga retirar criptomonedas, la información obtenida puede utilizarse posteriormente para construir fraudes personalizados, especialmente cuando incluye datos que permiten relacionar a una persona con determinados servicios financieros.

GOPAX: una amenaza sin confirmar basta para paralizar operaciones

En Corea del Sur, el exchange GOPAX adoptó una decisión preventiva de gran alcance después de recibir un correo electrónico de un grupo que afirmaba haber comprometido sus sistemas.

De acuerdo con la información publicada por DiarioBitcoin, GOPAX suspendió los retiros a las 2:55 p. m., hora local, del viernes 6 de noviembre, y posteriormente interrumpió también las operaciones de trading.

La compañía comenzó a trasladar activos desde billeteras calientes hacia almacenamiento en frío y estableció un procedimiento manual para solicitar retiros mediante atención al cliente. Al momento del reporte, no había confirmado la autenticidad de la amenaza ni detectado pérdidas de fondos. La reacción también alcanzó a otras plataformas surcoreanas, como Upbit, Bithumb y Coinone, que advirtieron sobre posibles restricciones a las transferencias dirigidas hacia GOPAX.

El caso demuestra que las consecuencias operativas de un incidente de seguridad pueden manifestarse incluso antes de verificar que exista una intrusión. La necesidad de proteger activos, preservar evidencias y evitar movimientos sospechosos puede justificar interrupciones que, desde la perspectiva de los usuarios, afectan la disponibilidad de sus fondos.

Nubank: la dependencia de proveedores externos llega a los servicios bancarios

El último episodio de la semana se produjo en Brasil, donde Nubank suspendió temporalmente los depósitos y retiros de criptomonedas debido a problemas con un proveedor externo. Según informó Reuters el 6 de noviembre, la fintech aseguró que la interrupción no estaba relacionada con una vulnerabilidad de su propia infraestructura y que tanto los activos como la información de sus clientes permanecían protegidos.

La medida afectó determinadas transferencias cripto, mientras otros servicios continuaron funcionando. Mercado Pago también informó sobre interrupciones en sus transferencias de criptomonedas durante la misma jornada.

Nubank no identificó oficialmente al proveedor responsable. Aunque la entidad mantiene relaciones comerciales con empresas especializadas en infraestructura Blockchain, la información disponible no permite atribuir categóricamente la suspensión a Chainalysis ni establecer que derive directamente de su reciente brecha de seguridad.

El problema de fondo: una industria interconectada y múltiples puntos de falla

Los seis casos describen escenarios diferentes. Binance sufrió una intrusión que alcanzó sus operaciones de custodia; Chainalysis enfrentó exposición de credenciales e interrupciones de servicios; SignalPlus fue comprometida mediante ingeniería social; Gnosis Pay perdió el control de determinados datos de clientes; GOPAX reaccionó ante una amenaza no confirmada; y Nubank interrumpió transferencias por un problema atribuido a un proveedor externo.

No existe evidencia pública que permita reunirlos bajo un mismo responsable, mecanismo o campaña. Tampoco sería correcto afirmar que todas las empresas sufrieron vulneraciones equivalentes.

Lo que sí comparten es su relación con una infraestructura tecnológica cada vez más compleja. Las plataformas de criptomonedas dependen de sistemas de autorización, proveedores de inteligencia Blockchain, aplicaciones de trading, verificadores externos y herramientas utilizadas por sus propios empleados.

Esta interdependencia aporta funcionalidades, pero también introduce riesgos operativos. Una credencial comprometida puede abrir acceso a un servicio, una API mal protegida puede permitir transacciones no autorizadas y la indisponibilidad de un proveedor puede obligar a suspender operaciones legítimas.

Los acontecimientos también muestran que responder a un ataque no consiste únicamente en bloquear al intruso. Es necesario revocar permisos, proteger información, reconstruir sistemas, rastrear activos y decidir cuándo resulta seguro restablecer los servicios. Cada una de esas medidas puede requerir coordinación entre múltiples organizaciones.

Para los usuarios, las lecciones pasan por utilizar autenticación multifactor, revisar regularmente las aplicaciones conectadas a sus cuentas, limitar los permisos de las claves API y desconfiar de comunicaciones inesperadas, incluso cuando aparenten proceder de proveedores conocidos.

Para las empresas, la semana plantea una exigencia más amplia: evaluar continuamente los riesgos de sus proveedores, restringir privilegios internos, mantener procedimientos eficaces de revocación y disponer de alternativas ante la interrupción de servicios críticos.

La descentralización de las redes Blockchain no elimina las dependencias que aparecen en las aplicaciones construidas sobre ellas. Y después de una semana marcada por robos, filtraciones y suspensiones preventivas, la pregunta ya no es solamente qué tan segura resulta una plataforma, sino qué tan preparada está para responder cuando falla alguno de los numerosos sistemas de los que depende.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín