Resumen
Estoy conmocionado, horrorizado y frustrado por la facilidad con la que se pueden distorsionar los conceptos en el siglo XXI. El hackeo de Bybit es en un 99 % resultado de la negligencia del equipo de CEX y solo en un 1 % de la habilidad de los hackers.
Sin embargo, los medios de comunicación han invertido la narrativa: enfatizan que el ataque fue supuestamente llevado a cabo por el grupo Lazarus, a pesar de que no hay pruebas concretas (aparte de las afirmaciones no verificadas de zachxbt y Arham).
A continuación presento mi perspectiva basada en hechos para preservarlos, ya que este incidente sin duda pasará a la historia.
Dato n.° 1: No hubo ningún hackeo
Si distinguimos claramente entre hackeo , ingeniería social y ataque dirigido , resulta evidente que no se produjo ningún hackeo real. Permítanme citar :
“No hubo ningún exploit de código ni se filtraron claves privadas. Los propios firmantes multisig de Bybit aprobaron las transacciones. Pensaron que estaban firmando una transferencia rutinaria. En cambio, estaban entregando toda su billetera fría”.
Entonces ¿qué pasó realmente?
- El equipo de seguridad de Bybit era incompetente .
- Ignoraron el ataque Radiante , que tenía vectores de ataque idénticos.
- Intentaron trasladar la culpa a Safe, a otras empresas y a "hackers malvados".
Arkham y Bybit estaban tan centrados en el tercer punto que no lograron proporcionar ninguna evidencia real.
Hecho n.° 2: La visualización reemplaza la realidad
Casi de inmediato, Arkham lanzó un rastreador visual que muestra todas las transacciones relacionadas con el "hackeo": Arkham Explorer .
¿El problema? Esta visualización distrae del verdadero problema:
- Bybit cometió tres errores imperdonables, lo que significa que es posible que antes se hayan producido “hackeos” similares, sólo que en menor escala.
- Sin comparar incidentes pasados, no podemos comprender plenamente el alcance del problema.
Dato #3: Lázaro es un chivo expiatorio conveniente
Piénsalo:
- El CEO (que es el firmante final) no pudo verificar las transacciones.
- El equipo de seguridad es inexistente o completamente ineficaz.
- Ya había ocurrido un ataque similar y ellos ignoraron las señales de advertencia.
- ¿Y ahora convenientemente le echan toda la culpa a Lázaro?
¿Tiene alguna importancia quién está en el "lado oscuro" en este caso? La respuesta puede no ser obvia, pero no, no importa.
Conclusiones iniciales
Muchos elogian a Bybit por "no bloquear los retiros", pero esto no es un acto de buena voluntad, es su obligación. Los fondos en un CEX pertenecen a los usuarios, no al exchange.
Mientras tanto, Bybit hábilmente echó la culpa a Safe, obligándolos a emitir una declaración pública aclarando que no se detectaron exploits: Declaración de Safe .
Luego, Bybit se aferró a la narrativa de Lázaro y anunció planes para involucrar a las fuerzas del orden, aunque omitió convenientemente el hecho de que la primera investigación debería centrarse en su propia negligencia interna.
Mi argumento
Me parece sospechoso lo rápido que se introdujo el grupo de Lázaro en esta historia. O bien:
- Una entidad altamente sofisticada que opera impecablemente sin dejar rastro.
- O un grupo que “todo el mundo ve y conoce”, pero que de alguna manera continúa funcionando en secreto.
El segundo escenario parece muy poco probable.
Pero lo más importante es que seamos honestos:
- Bybit es 99% responsable de este "hackeo" debido a su incapacidad para mantener la seguridad interna y externa y su negativa a aprender de ataques pasados.
- Bybit implicó falsamente a otras empresas Web3 en este ataque sin presentar ninguna evidencia.
- Bybit continúa distorsionando los hechos, presentando esto como un hackeo en lugar de una mera negligencia.
No uso Bybit ni ningún otro CEX porque creo que la descentralización es la mejor forma de seguridad. Pero también me niego a permitir que los medios creen una narrativa falsa, una en la que Bybit es la víctima , los servicios Web3 son los culpables y los "piratas informáticos malvados" son los únicos culpables.
Bybit es la única parte que se ha demostrado culpable de este incidente. El papel de todos los demás aún está por demostrar o desacreditar.
(Y recuerda, Mt.Gox también habló mucho pero nunca entregó nada sustancial).
