El reciente hackeo que resultó en pérdidas de más de $1,500 millones en criptomonedas ha puesto en evidencia las deficiencias en los programas de recompensas por fallos de seguridad. Expertos en ciberseguridad advierten que los exchanges deben mejorar estos incentivos para atraer a los mejores hackers éticos y fortalecer sus defensas.
El ataque a Bybit y sus consecuencias
Según la empresa de seguridad blockchain CertiK, en febrero se registraron pérdidas por $1,530 millones debido a ataques cibernéticos, siendo el hackeo a Bybit el más grave, con un impacto de más de $1,400 millones. Sin contar este incidente, el resto de los ataques sumaron $126 millones, incluyendo un robo de $49 millones a Infini.
El hacker ético Marwan Hachem, director de operaciones de la empresa de ciberseguridad FearsOff, explicó que la falta de incentivos adecuados para los expertos en seguridad permitió que los ciberdelincuentes aprovecharan vulnerabilidades ignoradas en los programas de recompensas de los exchanges.
Una recompensa insuficiente frente a pérdidas millonarias
Hachem detalló que el programa de recompensas por fallos de Safe, proveedor de billeteras multifirma de Bybit, no contemplaba errores en el front-end y back-end, dejando fuera de alcance vulnerabilidades críticas. “Lo que consideraron fuera de alcance llevó al mayor hackeo en la historia de las criptomonedas”, afirmó.
Actualmente, Bybit ofrece recompensas máximas de $4,000 en su sitio web y hasta $10,000 en HackerOne, montos que palidecen ante las cifras que pueden obtener los hackers malintencionados. Hachem advierte que sería más efectivo pagar mejor a los hackers éticos desde el inicio, en lugar de ofrecer el 10% de los fondos robados como recompensa tras un ataque, lo que solo incentiva a los ciberdelincuentes.
Medidas urgentes para mejorar la seguridad
Un portavoz de CertiK sugirió que los exchanges adopten protocolos más estrictos, como:
Dispositivos de firma segura para aprobar transacciones.
Sistemas operativos no persistentes para minimizar riesgos.
Autenticación mejorada para transacciones de alto valor.
Simulaciones de phishing y ejercicios de equipo rojo para fortalecer la ciberseguridad.
Según CertiK, el hackeo de Bybit fue resultado de un ataque de phishing que engañó a los firmantes de múltiples firmas para aprobar una actualización maliciosa de un contrato. En el caso de Infini, la filtración de una clave privada permitió retiros no autorizados.
Estos incidentes evidencian la urgencia de reforzar la autenticación, monitoreo en tiempo real y seguridad en interfaces de usuario para prevenir futuros ataques y proteger el ecosistema cripto.
