Dos de los intercambios de criptomonedas más grandes del mundo, Binance y Kraken, supuestamente han repelido ataques de ingeniería social coordinados destinados a comprometer sistemas internos a través de soborno interno, un vector de ataque que recientemente logró violar Coinbase.
Los intentos fallidos subrayan la creciente sofisticación de los ciberdelincuentes que apuntan a plataformas de criptomonedas centralizadas y la fragilidad de los marcos de seguridad dependientes de humanos.
Según fuentes citadas por Bloomberg, los atacantes se acercaron al personal de soporte al cliente tanto de Binance como de Kraken, ofreciendo sobornos a cambio de acceso al sistema y datos confidenciales de los clientes. Las comunicaciones se facilitaron a través de Telegram, donde los actores de la amenaza proporcionaron instrucciones y promesas de pago a cambio de acceso a paneles internos.
A diferencia del incidente en Coinbase, que llevó a una violación de datos grave y desencadenó una posible responsabilidad de hasta $400 millones, los ataques a Binance y Kraken fueron interceptados antes de que se expusiera cualquier dato de usuario. Los incidentes destacan no solo la efectividad de las salvaguardas técnicas y basadas en políticas, sino también el creciente riesgo de explotación interna en todo el sector de criptomonedas.
Patrón de ataques refleja incidente de Coinbase
La última ola de ciberataques enfocados en el interior parece reflejar las tácticas utilizadas en la reciente violación en Coinbase. En ese caso, los malos actores sobornaron con éxito a agentes de soporte al cliente en el extranjero, quienes eran contratistas o empleados de nivel inferior, y explotaron permisos internos para acceder a datos de identidad de clientes, incluidos identificadores emitidos por el gobierno y direcciones.
Esa violación llevó a una demanda de rescate de $20 millones y supuestamente afectó a cientos de miles de usuarios, algunos de los cuales fueron posteriormente atacados en campañas de phishing y esquemas de robo de identidad. Desde entonces, Coinbase ha despedido a los empleados implicados y contactado a las agencias de aplicación de la ley de EE. UU., pero las repercusiones continúan desarrollándose.
Binance y Kraken lograron identificar y neutralizar amenazas similares por adelantado, lo que sugiere que los operadores de intercambio están comenzando a adaptarse a la creciente amenaza de la ingeniería social en las operaciones de soporte al cliente de criptomonedas.
Telegram: El centro de coordinación para ofertas de soborno
Los atacantes usaron cuentas de Telegram para contactar directamente al personal de intercambio. Estas cuentas compartieron instrucciones precisas sobre cómo recuperar y exfiltrar datos de clientes, eludir la supervisión y aceptar pagos en criptomonedas.
Los expertos en seguridad dicen que Telegram se ha convertido cada vez más en la plataforma preferida para coordinar actividades de soborno, corretaje de datos y ransomware dentro de las criptomonedas. Sus características de anonimato, gran base de usuarios y falta de moderación lo hacen ideal para la coordinación criminal, especialmente al apuntar al acceso desde el interior.
Lo que diferencia a estos ataques del phishing tradicional es su enfoque en el compromiso y la manipulación humana directa. En lugar de explotar vulnerabilidades de software, los atacantes apuestan por un eslabón humano débil: contratistas mal remunerados, personal de soporte abrumado o empleados jóvenes con acceso a sistemas sensibles.
Binance y Kraken acreditan defensas automatizadas y límites de acceso
En Binance, los sistemas de monitoreo interno, algunos potenciados por aprendizaje automático, supuestamente detectaron patrones de comunicación sospechosos, incluidos palabras clave relacionadas con sobornos e intentos de contacto a través de Telegram externos. Los filtros de conversación impulsados por IA pudieron interceptar y aislar interacciones riesgosas antes de que ocurriera una escalación.
Además, la política de Binance de restringir el acceso a los datos de los clientes a menos que sea desencadenado por contacto iniciado por el usuario ayudó a limitar el área vulnerable para la explotación. Según fuentes internas de la compañía, los agentes de soporte objeto de ataques no tenían los permisos necesarios para recuperar información confidencial de forma independiente, lo que neutralizó la estrategia de los atacantes.
Kraken utilizó de manera similar políticas de control de acceso y monitoreo interno para detener el intento de violación. Aunque los detalles son limitados, las fuentes dicen que ambos intercambios tomaron medidas proactivas en el cuarto trimestre de 2024 para fortalecer los controles de acceso a datos tras las advertencias generales de la industria sobre el aumento del riesgo interno.
El fracaso de Coinbase destaca las vulnerabilidades de la industria
La violación de Coinbase, revelada a principios de este mes, ha echado una sombra sobre las prácticas de seguridad de los intercambios centralizados. La plataforma ahora enfrenta posibles costos de remediación y reembolso de hasta $400 millones, así como un escrutinio regulatorio creciente sobre su manejo de datos personales.
Según informes, Coinbase había recibido advertencias tan pronto como en diciembre de 2024 de plataformas rivales sobre una campaña coordinada que tenía como objetivo los equipos de soporte. Para enero, los sistemas internos registraban una actividad de soporte inusual. Aun así, el ataque no fue contenido hasta que se había hecho un daño significativo.
Este retraso ha planteado preocupaciones sobre brechas en la comunicación interna y la efectividad de la supervisión de seguridad de Coinbase, especialmente a raíz de su papel institucional creciente, sirviendo como custodio para la mayoría de los ETF de Bitcoin y Ethereum aprobados en EE. UU.
Con Coinbase manejando la custodia de 8 de 11 ETF de Bitcoin al contado y 8 de 9 ETF de Ethereum al contado, los críticos argumentan que la compañía representa un punto de falla único en la infraestructura de criptomonedas de EE. UU., una preocupación ahora magnificada por su reciente violación.
Una tendencia más amplia en la industria: aumento de las amenazas internas
Los eventos en Coinbase, Binance y Kraken reflejan una tendencia más amplia en ciberseguridad: el aumento de las amenazas internas como un vector destacado para el compromiso de datos. A medida que los intercambios se expanden rápidamente y externalizan partes de su soporte y operaciones, se vuelven más vulnerables a ataques que no dependen de romper cortafuegos, sino de sobornar a personas.
Esto no es exclusivo de las criptomonedas. En la finanza tradicional y Big Tech, las amenazas internas han sido una preocupación desde hace tiempo. Pero el espíritu descentralizado de las criptomonedas a menudo crea desajustes entre las expectativas de seguridad y las realidades operativas.
Los intercambios prometen custodia, anonimato y seguridad; sin embargo, a menudo dependen de equipos humanos con acceso en tiempo real a sistemas, lo que introduce un riesgo inherente. La fuga de Coinbase fue especialmente dañina porque involucraba datos KYC (Conozca a su Cliente), como direcciones e identificaciones gubernamentales, que no pueden ser revertidas ni reemitidas como contraseñas o claves privadas.
Las consecuencias legales y regulatorias
Aunque Binance y Kraken evitaron el peor escenario, es probable que los reguladores vean estos incidentes como más evidencia de controles operativos insuficientes en los marcos de servicio al cliente criptográfico. Las agencias de EE. UU. han llamado previamente a regulaciones más estrictas sobre privacidad de datos, gestión de identidad y protección del consumidor en todo el sector.
A medida que la SEC, CFTC y FinCEN debaten el alcance de la aplicación en el manejo de datos relacionados con criptomonedas, estas amenazas internas pueden servir como un punto de inflexión. Propuestas legislativas como la FIT21 y otras leyes de estructura del mercado de criptomonedas en revisión en el Congreso pueden incorporar mandatos más fuertes de seguridad interna y rendición de cuentas para los intercambios.
Dada la escala de los activos mantenidos y el volumen de datos recopilados mediante KYC en plataformas centralizadas, los reguladores están cada vez más preocupados sobre qué sucede cuando la “confianza” en el intercambio se convierte en el eslabón más débil.
Protección contra la ingeniería social interna
Los expertos dicen que las defensas más efectivas contra la ingeniería social no son puramente técnicas, sino procedimentales y culturales. Las plataformas deben invertir en capacitación de concienciación para empleados, mejorar la verificación de contratistas, reducir el acceso privilegiado e implementar una alerta más agresiva alrededor del comportamiento de soporte anormal.
Algunas de las mejores prácticas que emergen de los últimos incidentes incluyen:
- Arquitectura de acceso de confianza cero: Asumir que los actores internos pueden ser comprometidos y restringir el acceso a niveles de “mínimo privilegio”.
- Monitoreo en tiempo real basado en IA: Detectar lenguaje indicativo de soborno, contacto fuera de la plataforma o solicitudes de datos inconsistentes con el comportamiento del usuario.
- Canales internos de denuncias: Fomentar que el personal de soporte informe interacciones sospechosas.
- Registros de auditoría en la cadena de bloques: Usar contratos inteligentes y registros automatizados para solicitudes de datos, asegurando la responsabilidad.
- Compartir inteligencia entre plataformas: Coordinar con otros intercambios sobre tendencias de ataques y vectores intentados.
Estos tipos de medidas podrían haber ayudado a Coinbase a contener su violación más pronto o prevenirla por completo.
Reflexiones finales
Los intentos de soborno fallidos en Binance y Kraken, y la violación exitosa en Coinbase, ilustran una paradoja inquietante en el sector de criptomonedas. Incluso cuando las cadenas de bloques promueven la descentralización y la seguridad a través del código, las plataformas que apoyan el uso cotidiano permanecen vulnerables a amenazas muy humanas.
Mientras los intercambios centralizados sigan siendo la puerta de acceso a las criptomonedas para la mayoría de los usuarios y continúen almacenando datos sensibles de los usuarios, la manipulación interna seguirá siendo un método de ataque preferido para los hackers. El desafío de la industria ahora es evolucionar sus modelos de seguridad para reflejar esta realidad, mientras los reguladores sopesan cómo imponer una protección más estricta en todo el sector.
Con el daño reputacional, la responsabilidad financiera y el escrutinio regulador todos en juego, las apuestas para acertar en esto nunca han sido más altas.