Tras el incidente de 320 millones de dólares en Liquid Network: caída una línea de defensa, ¿qué pueden proteger aún las plataformas de activos digitales?

Los recientes incidentes de seguridad consecutivos vuelven a plantear una pregunta familiar en la industria de los activos digitales: ¿qué significa exactamente que una plataforma sea "segura"?

A principios de septiembre, se produjo un grave incidente de seguridad en la sidechain de Bitcoin Liquid Network. Los atacantes explotaron una vulnerabilidad de validación en el software Elements, lo que provocó la transferencia de aproximadamente 4.000 BTC, valorados en unos 320 millones de dólares al precio del momento. Cabe destacar que las claves PAK y Federation en sí no fueron comprometidas. Esto saca a la luz una cuestión más relevante: cuando las claves no han sido vulneradas, ¿por qué una transferencia de activos que no debería haberse producido pudo atravesar el sistema?

Riesgos similares han aparecido en otros eslabones. En agosto, los atacantes explotaron una vulnerabilidad de seguridad crítica en Cosmos EVM para atacar varias redes, y un total de 6 redes fueron efectivamente explotadas, aunque la vulnerabilidad ya había sido reportada previamente a través de un programa de recompensas por errores. En julio, Triple-A sufrió un ataque de ingeniería social: los atacantes obtuvieron credenciales del personal y accedieron al entorno operativo, lo que finalmente provocó la transferencia de parte de los activos propios de la empresa. Sin embargo, los fondos de los clientes se mantenían separados en cuentas fiduciarias, aisladas del entorno operativo comprometido, por lo que no se vieron afectados.

Las causas de los tres incidentes son diferentes, pero todos apuntan a una cuestión más realista: puede que sea difícil evitar por completo los incidentes de seguridad, pero cuando se vulnera uno de los eslabones —código, personal o permisos—, ¿dónde se detiene el riesgo?

Lo que realmente hay que prevenir no es solo "ser vulnerado", sino hasta dónde puede llegar el riesgo

Una pregunta más importante que "¿ha sido atacado?" es: tras fallar la primera línea de defensa, ¿hasta dónde puede llegar el atacante? Si una cuenta se ve comprometida, ¿es suficiente para realizar operaciones críticas con activos? Si se vulnera un permiso, ¿se puede seguir avanzando hacia sistemas más centrales? Cuando surgen problemas en el entorno en línea, ¿cuántos activos centrales quedan realmente expuestos en la ruta del ataque?

Esta es una lección importante de los incidentes recientes: el impacto final de un ataque no depende solo de lo que el atacante logre vulnerar, sino también de cuántas líneas de defensa quedan en el sistema después de la vulneración.

Si al comprometer una cuenta se puede acceder directamente a permisos centrales, o si un problema en el entorno en línea puede afectar directamente a una gran cantidad de activos centrales, cualquier eslabón débil puede amplificarse rápidamente. Por el contrario, si existen múltiples capas de aislamiento entre permisos, operaciones críticas, monitoreo de riesgos y custodia de activos, una sola vulneración no tiene por qué convertirse en una pérdida total.

En otras palabras, medir la capacidad de seguridad de una plataforma no consiste solo en ver "si la primera puerta puede resistir", sino también: tras caer la primera puerta, ¿cuántas puertas quedan detrás?

Siguiendo la cadena de ataque, ¿dónde está la "siguiente puerta" de BIT?

Recientemente, la plataforma global de servicios financieros digitales BIT (antes Matrixport) publicó el Libro Blanco de Confianza de BIT V2.0 (https://www.bit.com/whitepaper). Si releemos este documento desde la pregunta "¿qué ocurre después de que falle la primera línea de defensa?", un aspecto destacable es que el sistema de seguridad de BIT no depende de una única línea de defensa, sino que establece múltiples capas de protección entre identidad, permisos, operaciones y activos.

Por ejemplo, obtener las credenciales de una cuenta no significa que el atacante tenga todos los permisos necesarios para completar operaciones críticas con activos. El libro blanco revela que BIT aplica el principio de privilegio mínimo para limitar los sistemas y el alcance operativo al que pueden acceder los empleados. Las operaciones críticas, como transferencias de activos, seguridad de cuentas, cambios de permisos, generación y revisión de órdenes de trading, requieren la participación conjunta de al menos dos personas autorizadas. Tomando como ejemplo Cactus Custody, este enfoque por capas se extiende también a los escenarios de custodia institucional de activos digitales.

Superar la autenticación de identidad tampoco significa que todas las operaciones posteriores tengan "luz verde". BIT monitorea de forma continua comportamientos como inicios de sesión anómalos, dispositivos inusuales y retiros sospechosos. En cuanto a los activos, la mayoría de los activos digitales se almacenan en carteras frías, lo que reduce aún más la exposición de los activos centrales cuando surgen problemas en el entorno en línea.

Si se observan estos mecanismos en conjunto, la lógica de seguridad de BIT se vuelve más intuitiva: vulnerar una identidad no equivale a obtener todos los permisos; obtener un permiso no equivale a poder completar de forma independiente operaciones críticas; superar la autenticación no equivale a que las acciones posteriores dejen de estar sujetas a evaluación de riesgos; y un problema en el entorno en línea no equivale a que todos los activos centrales queden expuestos simultáneamente.

Lo que realmente determina hasta dónde puede llegar un ataque son precisamente estos "no equivale". Esto no significa que cualquier ataque pueda evitarse por completo, pero sí que, incluso si una línea de defensa falla, todavía existe la oportunidad de identificar anomalías, restringir permisos o aislar riesgos.

La diferencia en seguridad, muchas veces, se esconde justo después de que cae la primera puerta.

Cuando se detecta un riesgo, ¿quién tiene autoridad para pulsar realmente el "botón de parada"?

Pero añadir más líneas de defensa técnicas no lo es todo. En el incidente de Cosmos EVM, un detalle relevante es que la vulnerabilidad ya había sido reportada previamente a través de un programa de recompensas por errores, pero según la información disponible en ese momento, se consideró inicialmente que no provocaría pérdidas de fondos en las configuraciones de red de producción conocidas.

Esto pone de manifiesto otro problema que a menudo se pasa por alto: detectar un riesgo no significa que el riesgo haya sido evaluado con precisión y tratado adecuadamente.

Una vez enviada una vulnerabilidad, ¿quién decide su gravedad? Si el equipo de seguridad considera que el riesgo es inaceptable, ¿tiene autoridad para impedir que el producto siga adelante? Cuando el avance del negocio entra en conflicto con el criterio de seguridad, ¿quién tiene la última palabra?

El Libro Blanco de Confianza de BIT V2.0 revela que, cuando existen riesgos de seguridad significativos en el plan de producto, los requisitos, la arquitectura o los cambios de lanzamiento, o cuando no se cumplen las líneas base de seguridad y los requisitos de cumplimiento, el equipo de seguridad tiene "poder de veto", puede suspender las actividades relacionadas y exigir correcciones y una nueva revisión antes de continuar.

Lo realmente destacable de este mecanismo no es solo que añade una aprobación más, sino que responde a una pregunta muy práctica: cuando aparece un riesgo, ¿hay alguien con autoridad para decir "no"? Para un sistema de seguridad, la capacidad de detectar problemas es ciertamente importante, pero que el criterio de seguridad pueda influir realmente en las decisiones de negocio también determina si una línea de defensa queda solo escrita en los procedimientos o puede funcionar de verdad.

Cuando el negocio se vuelve más complejo, la "seguridad" ya no es solo los activos en la cartera

Cuando las plataformas financieras digitales empiezan a conectar simultáneamente activos digitales, acciones estadounidenses, RWA y otros tipos de activos e infraestructuras financieras, los problemas de seguridad ya no ocurren solo a nivel de carteras y cuentas. Quién procesa los activos, a través de qué instituciones, dónde se liquidan y custodian, también se convierte en una parte importante del criterio del usuario para evaluar el riesgo.

Aquí es donde el Libro Blanco de Confianza de BIT V2.0 amplía aún más el sistema de seguridad y confianza. Además de las medidas de control de riesgos y seguridad, el documento revela los acuerdos regulatorios, de auditoría y de verificación independiente correspondientes a las distintas entidades de negocio, lo que permite al exterior juzgar mejor: quién es responsable de qué, qué mecanismos pueden verificarse y hasta dónde llega su cobertura.

Tomando como ejemplo el negocio de acciones estadounidenses de BIT, sus servicios de valores son operados por Matrix Gelephu Pte. Ltd. y están regulados por la GFSO, y el negocio se conecta a su vez con instituciones financieras estadounidenses autorizadas y las correspondientes infraestructuras de compensación y custodia.

Para el usuario común, estos acuerdos financieros aparentemente complejos pueden reducirse en realidad a unas pocas preguntas muy sencillas: ¿quién procesa mis activos? ¿Por qué etapas pasan? ¿De qué se encarga cada institución? ¿Se puede comprobar la identidad y el estado regulatorio de estas instituciones?

Aquí es donde la "verificabilidad" adquiere verdadero sentido: la seguridad no puede depender solo de lo que la plataforma diga de sí misma, sino también de lo que los usuarios y el exterior puedan verificar.

Volviendo a Liquid Network, Cosmos EVM y Triple-A, los tres incidentes tuvieron puntos de entrada completamente diferentes, pero todos recuerdan al mercado que ninguna línea de defensa debe asumirse como infalible para siempre. Lo que realmente marca la diferencia en seguridad quizá no sea una tecnología de seguridad concreta, sino quién es capaz de establecer suficientes capas de aislamiento y contrapesos entre identidad, permisos, operaciones, activos y decisiones organizativas, para que una vulneración local sea más difícil de convertir en una pérdida total.

Desde esta perspectiva, lo que merece atención del Libro Blanco de Confianza de BIT V2.0 no es solo cuántas medidas de seguridad enumera, sino si esas medidas pueden formar un sistema de defensa completo: si un eslabón falla, hay otra capa; si la siguiente capa falla, todavía hay oportunidad de seguir identificando, bloqueando y aislando riesgos.

Para las plataformas de activos digitales, "no haber sufrido nunca un ataque" difícilmente puede ser una promesa permanente. Pero hay otra cosa que sí se puede construir de forma continua: la verdadera seguridad consiste en que, incluso si una línea de defensa falla, una sola vulneración no se convierta fácilmente en una pérdida total. Y cuando estas líneas de defensa no solo existen, sino que además pueden ser verificadas de forma continua por el exterior, la "confianza" deja de ser solo una frase que la plataforma dice de sí misma.