El mayor robo de criptomonedas registrado dejó en evidencia las grandes protecciones cibernéticas a infraestructuras
6.300 millones de dólares
Así entraron en Binance: un ingeniero, una falsa oferta de empleo y un robo multimillonario
El ataque a Binance revela hasta dónde puede llegar una intrusión en el ordenador de un empleado. Mientras se rastrean miles de millones en criptomonedas, los expertos advierten sobre los accesos privilegiados, las falsas devoluciones y los límites del ciberseguro
El golpe de 6.300 millones de dólares a Binance no comenzó rompiendo la criptografía de las monedas digitales, sino comprometiendo el portátil de un ingeniero. Desde ese equipo, los atacantes alcanzaron los sistemas que autorizaban movimientos de fondos. El mayor robo de criptomonedas registrado dejó en evidencia las grandes protecciones cibernéticas a infraestructuras si alguien consigue utilizar los permisos de quienes trabajan dentro.
Según la evaluación inicial de Binance el engaño empezó con una supuesta oportunidad laboral. En septiembre, un ingeniero recibió el contacto de alguien que se presentaba como director de proyecto de una empresa ficticia. Una prueba del proceso de selección contenía código malicioso. Lo que parecía un ejercicio para conseguir un empleo abrió el camino hacia el ataque.
El FBI atribuye el robo a TraderTraitor, una operación norcoreana vinculada a grandes sustracciones de criptoactivos. Los investigadores sitúan el golpe el 29 de octubre y siguen el rastro de los fondos, parte de los cuales se han convertido en ether, la criptomoneda de Ethereum. Binance, por su parte, ha comunicado que está reponiendo los activos sustraídos con recursos propios.
El ordenador que daba acceso al dinero
La dimensión del botín puede hacer que el episodio parezca lejano para una pequeña empresa. Sin embargo, Miguel Ortega, director de Procesos y Seguridad del proveedor de dominios y alojamiento web cdmon, encuentra una conexión directa con herramientas mucho más habituales.
«La seguridad al 100 % no existe, tampoco en la mayor plataforma del mundo. La cadena de bloques aguantó; el punto débil fue el equipo de una persona autorizada a ordenar movimientos», y añade: «En una pyme ocurre lo mismo con quien administra el dominio, el correo o el servidor, y esos accesos merecen tanta protección como la cuenta del banco».
La seguridad al 100 % no existe, tampoco en la mayor plataforma del mundoDirector de Procesos y Seguridad de cdmon
El ataque permitió manipular el mecanismo utilizado para aprobar transferencias. Los delincuentes encontraron una forma de hacer que la infraestructura actuase a su favor, sorteando los controles habituales.
Desde cdmon proponen aplicar el principio de mínimo privilegio, es decir, conceder únicamente los permisos necesarios para cada tarea. También aconseja separar las cuentas de administración de las utilizadas a diario y activar el doble factor de autenticación en el correo corporativo, los gestores de dominios y los paneles de alojamiento web.
La segunda trampa
El peligro no termina cuando se descubre la intrusión. La repercusión del ataque también ofrece un reclamo a otros estafadores. Los usuarios preocupados por sus ahorros pueden recibir mensajes que prometen recuperar fondos o exigen verificar una cuenta para evitar su bloqueo. cdmon advierte de que esos avisos pueden conducir a páginas que suplantan a la plataforma afectada.
«Después de un incidente mediático siempre aparecen mensajes falsos que ofrecen reembolsos o piden 'verificar' la cuenta. Muchos llevan a direcciones casi idénticas a la original, con una letra cambiada o una extensión distinta», explica Ortega. Su recomendación es acceder directamente a la aplicación oficial, en lugar de seguir el enlace recibido.
¿Qué cubre el seguro?
Ahora la pregunta es ¿quién asume el coste?. La correduría Master Mutua recuerda que un ciberseguro puede incluir asistencia para responder al incidente, análisis forense, pérdidas por interrupción de la actividad o responsabilidad frente a terceros afectados. Pero esas garantías dependen de lo contratado; no constituyen una protección automática ante cualquier robo digital.
Las pólizas de ciberriesgos se parecen poco entre sí. Las diferencias están en las exclusiones y en los sublímitesDirector de Master Mutua
«Las pólizas de ciberriesgos se parecen poco entre sí. Las diferencias están en las exclusiones y en los sublímites, sobre todo en el fraude por suplantación y en las transferencias que ordena un empleado engañado», advierte José Manuel Sánchez, director de Master Mutua. Revisar esas condiciones antes del ataque permite conocer qué gastos y situaciones quedan realmente amparados.
El caso de Binance reúne las distintas caras del riesgo, una persona engañada, un equipo comprometido y unos permisos que permitieron llegar al dinero. Para cdmon, este suceso debe prevenir también a empresas sin criptomonedas porque el dominio, el servidor y el correo corporativo necesitan una protección acorde con lo que permiten controlar.
