El robo de 1.500 millones de dólares en criptomonedas por parte de Bybit genera debate sobre la seguridad de los exchanges centralizados

La seguridad es algo con lo que me he ocupado durante los últimos 15 a 17 años. No importa cuánto sepas, siempre habrá alguien más inteligente, más rápido o más fuerte. Sin embargo, hay un conjunto de reglas y principios que nunca se deben violar.

La experiencia con Bybit fue particularmente ilustrativa para mí porque los empleados de la bolsa descuidaron todos los enfoques de seguridad principales, desde principios fundamentales y abstractos hasta medidas concretas y detalladas.

Así pues, analizaré varios aspectos clave en base a este hack.

El principio cero de seguridad

Hace años, formulé este principio para mí mismo: "Cualquier sistema puede ser hackeado. La única cuestión es tiempo, dinero y esfuerzo". Si hackear su sistema le reporta un millón de dólares y al atacante le cuesta solo 10.000, el sistema será hackeado sin duda. Sin embargo, si el hackeo requiere 1,1 millones de dólares, entonces la pregunta es: ¿para qué molestarse? A menos, por supuesto, que el motivo sea dañar a un competidor o llevar a cabo un ciberataque patrocinado por un estado.

Este principio fue precisamente lo que violaron los empleados de Bybit. Según las entrevistas iniciales, creían que su sistema era invulnerable. Pero el precio de 1.400 millones de dólares lo cambió todo.

Dondequiera que trabajes, debes comprender que todo puede ser hackeado, en cualquier momento y de cualquier manera . Las únicas variables son el dinero, el tiempo y el esfuerzo. Sabiendo esto, sigamos adelante...

¿Es segura una billetera de hardware + multifirma?

Sí y no. Las billeteras de hardware siempre han sido atacadas ; Ledger y Trezor son ejemplos destacados. A otras marcas les va aún peor.

Sin embargo, puedes mitigar los riesgos y reducir los impactos negativos al utilizar billeteras de hardware/multifirma.

A continuación se presentan algunas recomendaciones recopiladas a partir de investigadores y de mi experiencia personal:

• Verifique lo que está firmando : asegúrese siempre de que lo que ve coincida con lo que realmente está firmando o transfiriendo. Si nota discrepancias, deténgase, haga una pausa y evalúe la situación con atención.
• Las conexiones de billeteras basadas en navegador son más seguras que las directas : ¿por qué? Las billeteras basadas en navegador tienen bases de datos de contratos extensas y, a veces, pueden proporcionar falsos positivos, pero resaltan las interacciones con contratos nuevos y, especialmente, no verificados (lo que era relevante en este caso).
• Actualice el firmware de su billetera : instale solo el firmware oficial, a menos que le interese el hackeo ético. Puede verificarlo en el sitio web del fabricante o mediante sumas hash.
• Simular transacciones antes de firmar : siempre comprobar si hay cambios inesperados. Los conceptos clave aquí son la comprobación previa y la interrupción .
• Utilice fuentes de verificación alternativas : Algunas herramientas útiles incluyen:
  • Decodificador de datos de entrada Etherscan
  • Interfaz segura de PalmeraDAO (utilizada después del hackeo de Bybit)
  • CirclesTools SafeViewer (explicado en la página vinculada)
• Safe también ha introducido interfaces alternativas:
  • Aplicación PalmeraDAO
  • EternalSafe
  • Aplicación Onchainden
• Agregar.:
  • API segura
  • Documentación segura
  • Características de Trezor

Estas precauciones son solo un comienzo. Ahora, comparémoslas con las lecciones aprendidas del ataque a Radiant:

• Verificación de firma multicapa : cualquier anomalía, incluso menor, debería desencadenar una revisión de seguridad.
• Dispositivo de verificación de transacciones independiente : genera códigos de verificación que coinciden con los datos de la billetera de hardware.
• Seguridad mejorada de Ledger/Trezor : evite la firma a ciegas para transacciones críticas.
• Auditar fallas repetidas de transacciones : los problemas recurrentes deben desencadenar una auditoría completa de las transacciones.
• Verificación manual de datos de transacciones : extraiga y decodifique los datos de las transacciones antes de firmar, garantizando que las funciones y las direcciones coincidan con las expectativas.
• Confirmación de hash de mensaje dual : utilice la guía de Gnosis para verificar transacciones en billeteras de hardware.

¿Bybit implementó alguna de estas medidas? Según los datos disponibles, no.

El factor humano: el eslabón más débil

El phishing, la ingeniería social y el spam son responsables del 80% de los ciberataques. Los casos de Bybit y Radiant lo demuestran claramente.

Para mitigar los riesgos, implemente la separación de roles:

• Si tiene varios firmantes, deben tener canales de verificación independientes .
• Los cambios de propiedad deberían ser más complejos que las aprobaciones de transacciones .
• Las billeteras frías nunca deberían almacenar más que los umbrales de pérdida aceptables (por ejemplo, $1.5 mil millones es excesivo para cualquier intercambio).
• Cualquier discrepancia en la transacción debe dar como resultado una cancelación y no una aprobación .
• El personal debe recibir capacitación en seguridad continua, al menos una vez al mes .
• Designe al menos un verificador de seguridad con experiencia en billeteras multifirma y herramientas de seguridad avanzadas.

Nuevamente, los datos públicos no confirman que Bybit haya seguido alguno de estos pasos.

Opiniones de los investigadores

Muchos expertos han opinado sobre este hack. A continuación, se presentan algunas perspectivas clave:

• @dhkleung
• @blainemalone
• @pcaversaccio
• Informe de SlowMist
• @koeppelmann
• Informe de abuso de cadena
• Autopsia radiante

¿La conclusión clave? Si bien el ataque parecía sumamente técnico, en última instancia tuvo éxito debido a un error humano , más que a vulnerabilidades tecnológicas.

Por lo tanto, recomiendo encarecidamente que también estudien los casos de Radiant y WazirX. Está claro que los script kiddies están adoptando estas técnicas, lo que significa que no solo los exchanges sino una gama más amplia de proyectos de criptomonedas serán el próximo objetivo.

¡Mantenerse seguro!