La insignia de auditoría: quizá el placebo más caro del mundo cripto.
El informe del tercer trimestre publicado esta semana por Hacken, empresa de seguridad blockchain, puso las cifras sobre la mesa: en el Q3, los hackers robaron 1.180 millones de dólares a proyectos cripto; hubo 107 incidentes, un 55 % más que el trimestre anterior.
Lo más llamativo no es el total, sino cómo se distribuyeron las pérdidas: unos 906,8 millones de dólares (el 77 %) se produjeron fuera del alcance de las auditorías: proveedores comprometidos, herramientas de desarrollo contaminadas, parches conocidos desde hacía tiempo que nadie instaló y componentes excluidos de las auditorías.
Andrii Matiukhin, cofundador de Hacken, lo resumió en una frase: «El problema siempre está en el alcance». Por lo general, las auditorías solo revisan unos pocos contratos inteligentes concretos; las carteras, los sistemas de firma y el software de terceros quedan fuera. Los usuarios ven la insignia de «auditado» y dan por hecho que cubre toda la plataforma, pero el dinero acaba perdiéndose por culpa de claves, proveedores y configuraciones que nadie había comprobado.
Entre los mayores incidentes de este trimestre: en septiembre robaron unos 387 millones de dólares a Bitget (según se informó, una vulnerabilidad en un producto de seguridad de terceros afectó al sistema de retiros); Liquid Network perdió unos 320 millones; Tectonic, unos 120 millones; y una vulnerabilidad en el firmware de Coldcard, unos 115 millones. Las vulnerabilidades en contratos inteligentes fueron, por el contrario, el tipo de incidente más frecuente, pero el de menor importe por caso: 71 incidentes, con pérdidas de unos 228 millones de dólares.
La buena noticia es que los mecanismos de recuperación están funcionando: se recuperaron o revirtieron unos 387 millones de dólares (los hackers éticos devolvieron 272 millones tras el incidente de Liquid y los validadores de Cronos revirtieron las transacciones relacionadas con Tectonic); los operadores cubrieron unos 410 millones, y quedaron sin recuperar unos 384 millones, poco más de un tercio del total.
En mi opinión, las auditorías no son inútiles: protegen la «lógica del código», pero ahora los hackers atacan a las «personas, la cadena de suministro y las claves». Para los pequeños inversores, solo hay una regla práctica: dejar de tratar la etiqueta «auditado» como una garantía absoluta y fijarse más en si el equipo aplica parches de forma continua y cuenta con medidas operativas como recompensas por errores, firmas múltiples y claves de hardware.
La próxima vez que veas un gran cartel que diga «auditado», recuerda preguntarte: ¿qué parte se auditó exactamente?
¿Revisas los informes de auditoría de los proyectos o solo te fijas en la rentabilidad?
#黑客 #安全审计 #Seguridad
Lo anterior no constituye asesoramiento de inversión. DYOR; operar conlleva riesgos.
El informe del tercer trimestre publicado esta semana por Hacken, empresa de seguridad blockchain, puso las cifras sobre la mesa: en el Q3, los hackers robaron 1.180 millones de dólares a proyectos cripto; hubo 107 incidentes, un 55 % más que el trimestre anterior.
Lo más llamativo no es el total, sino cómo se distribuyeron las pérdidas: unos 906,8 millones de dólares (el 77 %) se produjeron fuera del alcance de las auditorías: proveedores comprometidos, herramientas de desarrollo contaminadas, parches conocidos desde hacía tiempo que nadie instaló y componentes excluidos de las auditorías.
Andrii Matiukhin, cofundador de Hacken, lo resumió en una frase: «El problema siempre está en el alcance». Por lo general, las auditorías solo revisan unos pocos contratos inteligentes concretos; las carteras, los sistemas de firma y el software de terceros quedan fuera. Los usuarios ven la insignia de «auditado» y dan por hecho que cubre toda la plataforma, pero el dinero acaba perdiéndose por culpa de claves, proveedores y configuraciones que nadie había comprobado.
Entre los mayores incidentes de este trimestre: en septiembre robaron unos 387 millones de dólares a Bitget (según se informó, una vulnerabilidad en un producto de seguridad de terceros afectó al sistema de retiros); Liquid Network perdió unos 320 millones; Tectonic, unos 120 millones; y una vulnerabilidad en el firmware de Coldcard, unos 115 millones. Las vulnerabilidades en contratos inteligentes fueron, por el contrario, el tipo de incidente más frecuente, pero el de menor importe por caso: 71 incidentes, con pérdidas de unos 228 millones de dólares.
La buena noticia es que los mecanismos de recuperación están funcionando: se recuperaron o revirtieron unos 387 millones de dólares (los hackers éticos devolvieron 272 millones tras el incidente de Liquid y los validadores de Cronos revirtieron las transacciones relacionadas con Tectonic); los operadores cubrieron unos 410 millones, y quedaron sin recuperar unos 384 millones, poco más de un tercio del total.
En mi opinión, las auditorías no son inútiles: protegen la «lógica del código», pero ahora los hackers atacan a las «personas, la cadena de suministro y las claves». Para los pequeños inversores, solo hay una regla práctica: dejar de tratar la etiqueta «auditado» como una garantía absoluta y fijarse más en si el equipo aplica parches de forma continua y cuenta con medidas operativas como recompensas por errores, firmas múltiples y claves de hardware.
La próxima vez que veas un gran cartel que diga «auditado», recuerda preguntarte: ¿qué parte se auditó exactamente?
¿Revisas los informes de auditoría de los proyectos o solo te fijas en la rentabilidad?
#黑客 #安全审计 #Seguridad
Lo anterior no constituye asesoramiento de inversión. DYOR; operar conlleva riesgos.