17 Mil Millones Robados del Cripto en una Década — Aquí Está Dónde Realmente Fue Todo Ese Dinero

Diecisiete mil millones de dólares es una cantidad asombrosa de dinero robado a la industria de las criptomonedas por hackers en un período de diez años, según los informes de DefiLlama sobre la cantidad robada en la industria de las criptomonedas desde 2010. Cada vez que leo esta estadística, me tomo un momento para asimilarla antes de ponerla en perspectiva. Diecisiete mil millones de dólares es una cantidad considerable. La cifra "perdida" a través de todas las diferentes formas de robar criptomonedas, como exploits, ataques a puentes, protocolos de drenaje y hacks a exchanges (algunos mucho más complejos que otros), refuerza que esta industria tiene un problema de seguridad. Lo que ha cambiado es que estos incidentes han aumentado exponencialmente.

Cómo se desglosa el número

Un servicio llamado DefiLlama agrega datos sobre hacks en muchos aspectos del mundo de las criptomonedas como una herramienta para ayudar a crear conciencia sobre este tema relevante de la industria. Según los datos analizados por DefiLlama, se han hackeado 17 mil millones de dólares en diferentes aspectos de las criptomonedas durante los últimos diez años. Sin embargo, esas cantidades de dinero no están distribuidas uniformemente a lo largo de esos 10 años; hubo eventos de hacking significativos que ocurrieron en el período de tres años desde 2021 hasta 2023, cuando el valor total bloqueado en finanzas descentralizadas (DeFi) se disparó, y tan rápidamente los intentos de hackeo aumentaron a medida que los atacantes reconocieron que se estaba invirtiendo mucho dinero en DeFi con solo unos pocos meses de auditorías y pruebas de seguridad.

El patrón de ataques es similar. Los nuevos sectores de las criptomonedas atraen grandes flujos de capital rápidamente, más rápido de lo que el dinero puede ser asegurado mediante auditorías formales de seguridad de código, más rápido de lo que la tecnología segura puede ser producida y probada, y más rápido de lo que cualquiera puede completar por completo pruebas de estrés para ver qué sucede cuando 100 millones de dólares de los activos de un individuo se almacenan dentro de un contrato que solo tiene tres semanas. Los atacantes observan esos rápidos influjos de dinero y comienzan a encontrar oportunidades para descubrir cómo pueden vulnerar ese dinero.

Los puentes entre cadenas (cross-chain bridges) tienen un historial de ser un foco para ataques a gran escala. En 2022, el exploit del puente Ronin resultó en la pérdida de 625 millones de dólares. El exploit de Wormhole resultó en pérdidas de 320 millones de dólares y Nomad sufrió pérdidas de 190 millones de dólares. Una de las principales razones por las que los puentes entre cadenas son un objetivo tan atractivo para los posibles atacantes es que almacenan múltiples grandes pools de activos en ambos lados de las dos cadenas alojadas en ellos; por lo tanto, los puentes entre cadenas pueden entenderse como una bóveda que se encuentra en la intersección de dos sistemas; así, asegurar esa intersección es muy difícil.

La Anatomía de un Hackeo Cripto

Hay muchas formas diferentes en que los hackers pueden robar criptomonedas, y agruparlas todas juntas dificulta comprender lo que realmente está sucediendo.

Algunos de estos hacks ocurren a nivel de contrato inteligente. En este tipo de hacks, un atacante aprovecha alguna falla en la forma en que está codificado un contrato inteligente y usa esa falla para realizar una transacción financiera que el contrato inteligente permitiría. Un ataque de préstamo flash (flash loan) es un ejemplo de este tipo de hack. En este caso, un atacante puede pedir prestada una gran cantidad de dinero y luego, dentro de la misma transacción, manipular un oráculo de precios o un pool de liquidez, obtener valor de la transacción y devolver los fondos prestados. Todo esto ocurrirá en el lapso de unos pocos segundos, sin que haya una contraseña robada o un uso no autorizado de un servidor; lo único que sucedió fue que las matemáticas se usaron contra sí mismas.

Otro ejemplo de ataque es cuando alguien obtiene acceso a una clave privada que le permite controlar la tesorería de un protocolo o firmar para un puente. Una ilustración principal de esto es el hackeo de Ronin, en el que hackers patrocinados por el estado norcoreano atacaron a empleados individuales de Sky Mavis (el creador de Axie Infinity) para obtener suficiente acceso a las claves para drenar los fondos del puente sin ser notados durante seis días.

Este detalle debería ser contemplado: se tardó una semana entera en detectar el mayor hackeo individual en la historia de las criptomonedas.

Luego están los hackeos a exchanges centralizados, como los que custodian el dinero de los clientes. El colapso de FTX no se debió a un hackeo en el sentido tradicional, pero los 400 millones de dólares retirados de sus billeteras horas después de declararse en bancarrota fueron casi con certeza debido a un hackeo. Mt. Gox perdió 850.000 Bitcoin a lo largo de varios años, y Mt. Gox nunca pudo identificar lo que estaba sucediendo mientras el hackeo estaba en curso.

Quién está robando

Muchos de los hacks más significativos que existen no son oportunismo aleatorio. Al Grupo Lazarus de Corea del Norte se le han atribuido miles de millones de dólares en criptomonedas robadas de varias operaciones. El gobierno de EE. UU. ha sancionado diferentes direcciones de billetera asociadas con ellos, y varias empresas de análisis de blockchain han rastreado el movimiento de los activos dentro de una serie de sistemas de lavado de dinero cada vez más complicados (mezcladores, saltos de cadena y a través de brokers ubicados en jurisdicciones mal reguladas).

El robo de criptomonedas a este nivel se ha convertido en una fuente de ingresos para un estado-nación oficialmente sancionado. Eso es algo extraño de decir, pero hay mucha evidencia que lo respalda, proveniente de numerosas organizaciones de investigación independientes.

Los otros hacks suelen ser perpetrados por hackers menos sofisticados (por ejemplo, desarrolladores que encontraron algún protocolo no auditado, equipos que intentan superarse mutuamente, personas que realizan phishing a usuarios individuales).

Lo que la industria ha arreglado y lo que no

En el mundo actual, las auditorías de seguridad se realizan ahora en cada lanzamiento de protocolo serio como práctica estándar. Los programas de recompensas por errores (bug bounty programs) son una forma para que los investigadores tengan una vía para obtener una recompensa legítima por descubrir vulnerabilidades antes que los hackers. Muchos puentes ahora utilizan configuraciones de validadores más descentralizadas para mitigar el riesgo de un único punto de falla.

A pesar de estos esfuerzos, los hacks continúan ocurriendo con una frecuencia sin precedentes. Si bien ha habido cierto esfuerzo para ralentizar la frecuencia de incidentes únicos verdaderamente desastrosos, las pérdidas acumuladas totales siguen creciendo.

La realidad es que muchas de las piezas de la infraestructura cripto comenzaron como productos construidos apresuradamente por pequeños equipos, realizados con prisa competitiva para poner dinero en circulación sin tener tiempo para considerar a fondo los escenarios hipotéticos desde la perspectiva del atacante, quien tiene tiempo ilimitado para atacar, así como medios financieros ilimitados a su disposición.

Este entorno le costó a la industria más de 17 mil millones de dólares en la última década. El resultado de la próxima década dependerá de si la industria ha aprendido con éxito de esos errores, o simplemente se ha vuelto mejor en registrar sus autopsias (post-mortems).