Las vulnerabilidades más comunes en los exchanges de criptomonedas

Exchanges

Actualmente, existen aproximadamente 130 exchanges o plataformas de intercambios de criptomonedas en todo el mundo. La mayoría está ubicados en Asia. Han existido en una brumosa tierra de supervisión de nadie que los bancos solo pueden soñar.

Debido a las ubicaciones transnacionales de estas entidades y la composición diversa de las nacionalidades de los inversionistas, la supervisión regulatoria de los estándares de ciberseguridad ha sido virtualmente inexistente.

Por ejemplo, Coinrail, el exchange de criptomonedas de Corea del Sur, confirmó que fue hackeado en junio de 2018. Según la agencia de noticias local Yonhap, el hackeo provocó pérdidas por 40 mil millones de wones (36.9 millones de dólares estadunidenses).

El exchange de criptomonedas de Japón Coincheck fue hackeado en enero de 2018, lo que resultó en pérdidas que superaron los 500 millones de dólares estadounidenses. Después de ser hackeado dos veces, el exchange surcoreano Youbit dejó de operar y se declaró en bancarrota en diciembre de 2017.

Para evitar los ataques que causan pérdidas significativas, los exchanges de criptomonedas deben contar con procedimientos completos para identificar y eliminar las vulnerabilidades de seguridad informática.

Las vulnerabilidades más comunes de los exchanges de criptomonedas

Podemos distinguir al menos cinco vulnerabilidades comunes de los exchanges de criptomonedas, entre estas

  1. La susceptibilidad de losExchanges de criptomonedas al phishing
  2. La falta de protección de la wallet (billetera)
  3. La débil protección de las credenciales de inicio de sesión de los empleados,
  4. Las vulnerabilidades de software
  5. La flexibilidad de las transacciones.

1. Susceptibilidad de los exchanges de criptomonedas al phishing

Incluso las mejores medidas tecnológicas no pueden proteger un exchange de criptomonedas contra ataques de phishing.

Esta es la causa número uno que ha sido común entre los hackers de exchange de criptomonedas: en la mayoría de los casos que analizamos, los ciberdelincuentes lograron vulnerar las VPN o el hardware de los empleados con credenciales robadas, supuestas o comprometidas (hackeo de NiceHash 2017, hackeo de BitThumb 2017, hackeo de YouBit 2017, entre otros) – para manipular el código, inyectar código malicioso y/o crear transacciones delictivas.

La adición de un simple factor biométrico para la autenticación de los empleados de los exchanges de criptomonedas, por ejemplo, para los inicios de sesión de clientes, VPN y redes, aunque no impida “trabajos desde adentro”, podría haber evitado el robo de cientos de millones de criptomonedas de las manos de inversores bien intencionados y de los empresarios que fundaron estas compañías de plataformas de trading.

2. Falta de protecciones de las hot wallets

El término “billetera caliente” se refiere a una billetera de criptomonedas en línea que está conectada a Internet. Muchos exchanges de criptomonedas utilizan claves privadas únicas para asegurar hot wallets.

Si los delincuentes acceden a una sola clave privada, podrán hackear la billetera con la que se relaciona la clave privada. Ejemplos típicos de ataques de clave privada son los ataques a Bitfinex (2016) y Parity (2017).

Los ataques provocaron pérdidas de 65 millones de dólares estadounidenses (Bitfinex) y 30 millones de dólares estadounidenses (Parity).

Los exchanges de criptomonedas pueden evitar fácilmente ataques similares mediante el uso de claves privadas de firma múltiple.

3. Protección débil de las credenciales de inicio de sesión de los empleados

Los empleados que trabajan en los exchanges de criptomonedas a menudo utilizan contraseñas débiles o almacenan sus credenciales de inicio de sesión de una manera insegura.

Esto hace que las credenciales de inicio de sesión sean una presa fácil para los delincuentes.

Al menos los siguientes tres ataques se llevaron a cabo comprometiendo los datos de inicio de sesión de los empleados: hackeo a BitThumb (2017), hackeo a NiceHash (2017) y hackeo a YouBit hack (2017). Vale la pena mencionar que a veces los hackers atacan las computadoras privadas de los empleados.

Por ejemplo, Berg Herzberg, un investigador de seguridad, señaló en relación con el hackeo de BitThumb:

“En este caso, según Bithumb, la violación en sí misma se produjo en los datos almacenados fuera de los activos de la compañía en una computadora personal. Esto también plantea la cuestión de la seguridad de los datos en las empresas y la capacidad de los empleados para llevar información confidencial con ellos cuando están en casa.”

Por lo tanto, las organizaciones deben asegurarse de que los empleados protejan las credenciales de inicio de sesión relacionadas con las aplicaciones de software instaladas no solo en computadoras de trabajo profesional sino también en computadoras personales.

4. Vulnerabilidades de software

Varias leyes obligan a los bancos y otras instituciones financieras a implementar medidas de seguridad de la información para proteger los depósitos de sus clientes y evitar transacciones no autorizadas. Sin embargo, dado que el campo blockchain está en su infancia, algunas de esas leyes no se aplican a los exchanges de criptomonedas.

Por lo tanto, no es una coincidencia que muchos exchanges de criptomonedas tengan vulnerabilidades que permiten a los hackers robar grandes cantidades de dinero.

El 27 de marzo de 2018, Oleksii Mattiasevych (un experto en seguridad) encontró vulnerabilidades de software en ocho grandes exchanges centralizados. Informó a los exchanges sobre las vulnerabilidades y envió cartas de advertencia a más de 200 exchanges.

La vulnerabilidad del software identificada por el señor Mattiasevych permite a los hackers manipular el saldo de la cuenta de Ethereum. Más específicamente, los estafadores pueden usar la vulnerabilidad para registrar una nueva cuenta, aumentar ilegalmente su saldo y retirar ese saldo del exchange hackeado.

5. Maleabilidad de transacciones

Los defensores de las tecnologías de blockchain a menudo argumentan que las transacciones de blockchain son altamente seguras porque se guardan en un registro supuestamente inmutable. Sin embargo, a menudo se olvidan de mencionar que cada transacción tiene una firma y la firma puede manipularse antes del cierre de la transacción.

El incidente denominado “Mt. Gox”, uno de los ataques más grandes en la historia de las criptomonedas, fue llevado a cabo por hackers que enviaron cambios de código a un libro principal público antes de la publicación de las transacciones iniciales. El ataque provocó una pérdida de 473 millones de dólares y llevó a la quiebra el exchange hackeado.

Conclusiones finales

La gran cantidad de ataques cibernéticos discutidos en este artículo, así como los numerosos informes sobre vulnerabilidades de seguridad de los exchanges de criptomonedas, muestran una necesidad social apremiante de regulación del campo de blockchain. Más particularmente, los gobiernos deben exigir que los exchanges de criptomonedas adopten estrictas medidas de seguridad de la información que eviten el robo de miles de millones de dólares.