Lo que dicen los creadores | El mayor riesgo de la industria cripto es que creas que es seguro

"Lo que dicen los creadores" es una columna de diálogo lanzada por Foresight News, donde hacemos preguntas a los creadores destacados seleccionados cada mes sobre temas candentes del mercado y recopilamos las respuestas en un artículo, recogiendo diversas opiniones y explorando reflexiones más profundas.

Escrito por: Creadores de contenido destacados de Foresight News en octubre de 2026

Compilado por: Foresight News

No hay un refugio seguro eterno, esta es la advertencia común que nos han dejado los recientes incidentes de seguridad en el ámbito cripto. Desde plataformas de custodia, aplicaciones en cadena hasta almacenamiento offline, el riesgo se está propagando a través de diferentes medios. La IA ha reducido la barrera para el fraude dirigido, y muchas trampas de permisos difíciles de detectar han atravesado fácilmente el sistema de protección en el que la gente ha confiado durante mucho tiempo. La mayoría de las personas juzgan el riesgo basándose en marcas, reputación y diseños establecidos, dejando caer la guardia en su subconsciente. El peligro a menudo nace de esta certeza; el mayor riesgo de la industria cripto es que creas que es seguro.

En esta edición de "Lo que dicen los creadores", nos enfocamos en "la seguridad de los activos". Hemos invitado a Beosin, servicios legales de blockchain de Mankun, Fugu, el investigador Jason de Biteye, y hemos invitado especialmente a la agencia de seguridad Web3 BlockSec, al COO de la billetera Web3 de múltiples cadenas Bitget Wallet, Alvin Kan, y a la KOL del círculo cripto de habla china, la analista en cadena Ai Yi, para unirse a esta discusión.

Planteamos cinco preguntas: "Comparte tus sentimientos y experiencias sobre los recientes incidentes de seguridad", "¿Qué factores han elevado el riesgo en la industria?", "¿Por qué elegir autorizar a pesar de conocer los riesgos?", "¿Cómo afecta la pesca con IA a la seguridad de los activos?" y "¿Qué recomendaciones de gestión de riesgos tienes?" A continuación, las respuestas que recopilamos.

1. ¿Qué impresión te han dejado esta serie de incidentes de seguridad? Si has estado expuesto a riesgos relacionados o has visto a amigos sufrir robos de criptomonedas o incidentes de autorización, siéntete libre de compartir.

Beosin: Mi impresión directa de esta serie de incidentes de seguridad es que los límites de seguridad de los activos cripto están siendo reconfigurados. El enfoque de los ataques ha cambiado de vulnerabilidades en contratos inteligentes a la manipulación de firmas/permisos/interfaz frontal, ingeniería social y cadena de suministro, con los objetivos de ataque centrados en firmantes de múltiples firmas, personal de operaciones, administradores, interfaces frontales o usuarios comunes, no solo en el código en cadena. Anteriormente, los usuarios podían mitigar ciertos riesgos de plataformas/etapas almacenando activos de manera dispersa, pero esta serie de incidentes de seguridad ha golpeado fuertemente la confianza de los usuarios; independientemente de dónde almacenen sus activos cripto, pueden tener dudas de seguridad sobre la billetera, protocolo o plataforma donde están almacenados.

Servicios legales de blockchain de Mankun: Mi impresión es que es mejor no entender la seguridad como "elegir una plataforma/billetera correcta" y sentir que está todo bien; lo que necesitamos observar es el proceso en el que se utilizan nuestros activos en custodia.

La investigación preliminar de Binance indica que fue debido a la invasión de la computadora de un desarrollador de operaciones, y que el atacante obtuvo acceso al backend. Como abogado, creo que ahora debemos preguntar cosas más importantes: Después de que ocurra un incidente, ¿a quién puede acudir el usuario y quién asumirá las pérdidas? ¿La persona que promete compensar tiene la capacidad real de cumplir? Creo que estas son preguntas que los usuarios deberían considerar al elegir un servicio.

Por lo tanto, debemos distinguir más seriamente entre los diferentes riesgos.

He tenido una experiencia similar. Una vez, durante un proyecto, un contacto de un canal de tele me habló sobre muchos asuntos del proyecto y finalmente llegamos a un acuerdo. Pero había algo extraño: la entrega del proyecto debía hacerse en su Trillium (similar a Notion o a software de colaboración como Feishu en China). Después de unos días de trabajo, mi IA detectó que este software estaba leyendo ilegalmente mi llavero de contraseñas del navegador, especialmente información relacionada con billeteras y exchanges. (Tengo la costumbre de hacer que la IA escanee mi backend para detectar software que funcione de manera anómala). Solo entonces me di cuenta de que podría haber un problema; cuando intenté discutirlo con el "proyecto", ya no había rastro de ellos. Después de investigar, descubrí que el Trillium que me pidieron usar tenía vulnerabilidades en el backend (el software es de código abierto) que podían leer mi llavero del navegador. Afortunadamente, mi información importante, incluidas las claves, estaba aislada en otra computadora que apenas estaba conectada a internet; de lo contrario, no quiero imaginar qué podría haber pasado.

Fugu: Primero, se puede sentir claramente que la lógica de ataque de esta serie de incidentes de seguridad ha cambiado: el enfoque del ataque ha pasado de vulnerabilidades en el código de contratos a los aspectos humanos, extendiéndose de la cadena a la infraestructura fuera de la cadena, pasando de encontrar vulnerabilidades a romper relaciones de confianza; sumado a la potenciación de la IA, los ataques se presentan de manera escalonada y concentrada.

En los últimos años, he estado en contacto con varios incidentes de seguridad, grandes y pequeños (parte del contenido no se puede discutir por falta de autorización, solo comparto lo que es público). Lo que más me impresionó fue un respetado colega técnico. Originalmente no estaba en la industria cripto, tenía años de experiencia en operaciones de seguridad de red. Una noche, me llamó borracho, y el mensaje me puso nervioso.

Semanas antes, me había consultado sobre la implementación de soluciones para el despliegue de servidores de billeteras calientes, configuración de claves privadas e interacciones DeFi. Solo le presenté las rutas de código abierto comúnmente aceptadas en la industria; con su capacidad técnica, podría desplegarlo por sí mismo siguiendo la documentación. En ese momento, tenía una solución de imagen de entorno lista y consideré enviársela, pero al final no lo hice.

Esa llamada fue para informarme que su servidor había sido invadido, las claves privadas habían sido filtradas, y había perdido casi un millón de dólares. Él y su socio originalmente planeaban hacer trading cuantitativo en DEX, y los fondos no eran todos de él, sino que él era responsable de la seguridad operativa, por lo que es muy probable que tenga que asumir las pérdidas. Además de la pérdida de activos, este incidente también dañó gravemente su reputación personal. Después, hizo un rastreo del servidor y guardó pruebas en la cadena, pero los fondos eran prácticamente irrecuperables. Este tipo de riesgo es realmente difícil de prevenir.

Para los desarrolladores, es crucial establecer límites claros de responsabilidad: si no puedes asumir el riesgo por completo, evita tocar información sensible como claves privadas.

Hoy en día, el grado de automatización y la velocidad de respuesta de los ataques están aumentando. Anteriormente, para demostrar un DApp Demo, subí a GitHub un conjunto de claves privadas de prueba que solo contenían tokens de prueba, pensando que no había riesgo. Sin embargo, en solo dos horas, las direcciones correspondientes en las principales cadenas EVM fueron bloqueadas en masa; incluso después de transferir activos, no pude moverlos con las claves privadas.

Investigador de Biteye, Jason: Mis impresiones se resumen en tres puntos: técnicamente, la IA ha cambiado la dinámica de ataque y defensa; en el mercado, los incidentes de seguridad no distinguen entre mercados alcistas o bajistas; y en términos de resultados, la gestión de plataformas robadas se está volviendo cada vez más transparente.

Yo mismo casi fui engañado por una cuenta falsa de Telegram que me llevó a un sitio de phishing para ingresar mis claves privadas, y también experimenté el robo de un antiguo contrato de DEX porque no vi las noticias y seguí transfiriendo monedas, resultando en que fueron transferidas. Los incidentes de 2026 nos recuerdan repetidamente: lo que no se puede imaginar en el bosque oscuro no significa que no suceda.

BlockSec: Mi primera impresión es que la escala y la frecuencia de los robos han alcanzado niveles sin precedentes. Este año, el monto robado en la industria ha establecido un nuevo récord, solo Binance fue robado por aproximadamente 6.3 mil millones de dólares a finales de octubre, cuatro veces más que los 1.5 mil millones de Bybit. Nuestro equipo ha estado rastreando fondos robados en la cadena durante mucho tiempo, y casi cada semana hay nuevos casos que llegan; a menudo, cuando uno aún no se ha resuelto, ya ha ocurrido otro.

Lo que realmente me preocupa no es tanto la cantidad, sino que estos ataques dependen cada vez menos de supuestas vulnerabilidades profundas. En el caso de Binance, el atacante no tocó las claves privadas, sino que entró a través de un dispositivo de ingeniero comprometido, accediendo al proceso de firma y retiro, permitiendo que el sistema liberara el dinero por sí mismo.

Además, este tipo de ataque ya no solo se observa en la industria cripto. Este otoño, siete instituciones financieras en Corea del Sur fueron atacadas, y detrás de esto estaba básicamente una persona con un conjunto de herramientas de automatización de IA, accediendo a través de puertas traseras como intermediarios de préstamos, lo que resultó en la filtración de información de más de 60,000 personas. Las finanzas tradicionales y las criptomonedas están enfrentando el mismo tipo de adversario; este riesgo no es solo un problema de una industria.

Después de años en la seguridad en cadena, mi impresión más directa de esta serie es que muchas personas asumían que "las plataformas líderes y los equipos de primer nivel son necesariamente más seguros"; ahora esa suposición ya no es confiable. El intercambio más grande del mundo y la solución de múltiples firmas más antigua han tenido incidentes en el mismo período. La seguridad está pasando de ser una debilidad de ciertos jugadores a un tema común que toda la industria debe enfrentar nuevamente.

Alvin Kan, COO de Bitget Wallet: Mi impresión más directa es que necesitamos considerar que seguir siendo atacados es una condición cotidiana del funcionamiento del sistema. La reciente concentración de incidentes ha hecho que todos tengan una percepción más fuerte del riesgo, pero los ataques en sí no se detendrán con este aumento de atención.

La IA está cambiando el costo de los ataques. Los atacantes pueden utilizar menos recursos humanos, mientras prueban más sistemas y buscan más vulnerabilidades. Para todos los productos que involucran activos, se debe considerar una pregunta: si se rompe una capa de protección, ¿pueden los mecanismos posteriores seguir protegiendo los activos y limitar el impacto a un rango controlable?

Los usuarios comunes también están asumiendo cada vez más decisiones de seguridad: ¿el enlace es real?, ¿qué significa la firma?, ¿cuánto tiempo durará la autorización? Todo esto constituye un costo oculto al usar productos cripto. La industria no puede atribuir toda la responsabilidad a "los usuarios deben estar más alerta". Si para usar un producto de manera segura, los usuarios necesitan entender complejos contratos y mecanismos de permisos, el producto en sí aún tiene mucho trabajo por hacer.

Ai Yi: Más allá de lo inesperado, es lo que se esperaba.

Desde la perspectiva de la cadena, en los últimos dos años, la complejidad de los bloques DeFi ha aumentado, y con más pasos, es naturalmente más fácil cometer errores. La mayoría de los proyectos innovadores no tienen suficiente capital, y una vez que son atacados, terminan. Tengo amigos que han apostado grandes cantidades en proyectos DeFi, y después del incidente, la defensa de sus derechos ha durado más de un año sin avances. Desde el lado de los exchanges, afortunadamente, Bybit, Bitget, Binance, etc., han realizado suficientes simulaciones y tienen la capacidad de compensar, por lo que incluso si se robó el dinero, desde un punto de vista racional, no se sentirán demasiado alarmados.

2. Actualmente, las plataformas centralizadas, los protocolos en cadena y las billeteras de hardware están enfrentando incidentes de seguridad. Dejando de lado los detalles técnicos específicos de cada ataque, ¿qué factores crees que han elevado el riesgo general de la industria? Por ejemplo, la prioridad de los productos en la experiencia del usuario, la disminución continua de la barrera para los ataques, la falta de conciencia de riesgo entre los usuarios, la difusión de nuevos modelos de permisos, la rápida expansión de la industria, etc., se pueden discutir.

Beosin: Primero, la rápida mejora de las capacidades de los modelos de IA representa un gran desafío para el campo de la seguridad, reduciendo significativamente los costos de phishing y de ingeniería social, y acelerando el proceso de descubrimiento y explotación de vulnerabilidades. Los hackers pueden utilizar IA para comprender rápidamente la lógica de los contratos, generar código de explotación y escanear en masa vulnerabilidades similares para llevar a cabo ataques. Este año, ha habido varios incidentes de seguridad sospechosos de ataques asistidos por IA, y cada vez más contratos inteligentes no abiertos o desechados han sido atacados, lo que respalda este punto.

En este contexto, la mayoría de los proyectos de blockchain enfrentan problemas de presupuesto de seguridad y falta de personal especializado; pueden realizar solo una auditoría de seguridad y no pueden construir un sistema de protección de seguridad continuo y dinámico, lo que los hace propensos a incidentes de seguridad frente a ataques de hackers potenciados por IA. Para los exchanges o plataformas centralizadas, es fácil que haya errores en las operaciones internas y en los sistemas de firma, y los firmantes de billeteras pueden subestimar el impacto de las firmas y autorizaciones, lo que puede ser aprovechado por los hackers.

Servicios legales de blockchain de Mankun: Creo que el problema más destacado es que la operación del usuario se ha vuelto cada vez más conveniente, pero las operaciones posteriores de la plataforma y el ecosistema se han vuelto cada vez más complejas. Lo que el usuario ve puede ser solo un botón de "confirmar", pero en realidad involucra múltiples pasos como sitios web, billeteras y software de terceros. Los atacantes pueden comenzar desde el software o sitio web del que todos dependen. El incidente del Ledger Connect Kit es un ejemplo de esto.

Además, creo que el diseño de productos necesita reflexión. Reducir los pasos de operación ciertamente tiene valor, pero si los usuarios otorgan permisos amplios sin entender las consecuencias solo para evitar algunas confirmaciones, esa conveniencia tiene un costo.

Otro problema es que no se puede echar toda la responsabilidad a "la falta de precaución del usuario". Si un producto solo puede ser entendido por expertos en seguridad, creo que aún no ha garantizado la seguridad de los usuarios comunes. Lo mismo ocurre dentro de la plataforma; la gestión de permisos y la revisión de emergencia no pueden quedarse atrás y no evolucionar.

Fuguo: Los incidentes de seguridad en la industria de criptomonedas en 2026 parecen dispersos, pero detrás de ellos hay un mismo cambio estructural: el enfoque de los ataques está cambiando de la "economía de vulnerabilidades" a la "economía de permisos". Anteriormente, también escribí sobre esta tendencia en Foresight News. Los datos de TRM Labs para la primera mitad del año muestran que los ataques a infraestructuras y operaciones solo representan aproximadamente el 15% de los incidentes, pero causan alrededor del 76% de las pérdidas financieras; las estadísticas de Hacken para el segundo trimestre indican que las pérdidas por ataques a claves, firmantes e infraestructuras alcanzan hasta el 88.3%, mientras que las pérdidas por vulnerabilidades en contratos inteligentes son solo alrededor del 11%. Aunque ambos informes tienen diferentes períodos de estadística y clasificaciones, ambos indican que las vulnerabilidades en el código siguen siendo una amenaza, y las grandes pérdidas están ocurriendo cada vez más fuera del código ------ en la gestión de permisos, custodia de claves y procesos operativos.

El riesgo en la industria está aumentando, no porque las técnicas de los hackers hayan mejorado de repente (el Lazarus Group ya era una organización de ataques a gran escala antes de 2020), ni solo por las amenazas que trae la IA, la contradicción central radica en: la velocidad de expansión de la industria, la complejidad del sistema de permisos y la capacidad de gobernanza de seguridad están gravemente desbalanceadas.

• Primero, los productos deben priorizar tanto la eficiencia como la experiencia del usuario. Soluciones como la abstracción de cuentas, billeteras inteligentes, puentes entre cadenas y firmas múltiples de baja latencia han reducido la barrera de uso, pero a menudo amplían el rango de autorización y reducen el espacio para la revisión manual y el margen de riesgo.
• Segundo, la lógica económica de los ataques ha cambiado. La IA ha reducido drásticamente los costos de phishing, suplantación de identidad, escaneo de vulnerabilidades y ataques de ingeniería social. Los atacantes no necesitan romper contratos de alta seguridad, solo necesitan penetrar en el eslabón más débil de la cadena de confianza: firmantes, hosts de desarrolladores, nodos RPC y dependencias de la cadena de suministro pueden convertirse en puntos de ruptura.
• Tercero, la industria enfrenta el problema de la "pseudo-descentralización". La firma múltiple no equivale a seguridad; si los firmantes comparten proveedores de servicios en la nube, RPC y entornos frontales, incluso si matemáticamente se logra la distribución, a nivel de infraestructura sigue existiendo un punto único de falla.
• Cuarto, la conciencia de riesgo de los usuarios y la gobernanza de la industria no están al ritmo de la innovación. La auditoría se centra principalmente en el código del contrato, mientras que la configuración de permisos, los procesos operativos y la supervisión continua a menudo se pasan por alto.

Jason, investigador de Biteye: El factor clave es la IA. Primero, la iteración de productos se ha acelerado, pero las vulnerabilidades solo se revelan con el tiempo. Segundo, la barrera de entrada para los ataques ha disminuido drásticamente; nuevos modelos atacan a los antiguos protocolos DeFi casi como un ataque de dimensión reducida. Tercero, muchos protocolos DeFi carecen de fondos y personal para su mantenimiento, pero tienen fondos que superan con creces su capacidad de seguridad, convirtiéndose en un objetivo atractivo para los hackers. Vi un meme en X que decía: si DeFi sigue existiendo durante cinco años más, en 2031 Pyongyang será una metrópoli próspera, LOL.

BlockSec: Si solo pudiera elegir una razón, diría que es la IA. Se parece más a un amplificador que agranda los problemas que ya existían en la industria.

En el pasado, lo que determinaba cuánto podía hacer un atacante era su nivel técnico y su personal; ahora, esta línea ha sido nivelada significativamente por la IA. Encontrar vulnerabilidades, escribir exploits, moverse lateralmente e incluso las transferencias de fondos y el lavado de dinero posteriores pueden ser realizados por herramientas automatizadas; una persona con un conjunto de IA puede completar el trabajo que antes requería un equipo durante semanas. Este otoño, siete instituciones financieras en Corea del Sur fueron atacadas, y detrás de esto estaba básicamente el modelo de "una persona más un conjunto de herramientas automatizadas de penetración". La ingeniería social es similar; la IA puede usar tu información pública para personalizar guiones, falsificar voces y videos, convirtiendo el phishing de una red amplia a un ataque preciso. La barrera de entrada para los ataques está bajando, pero la escala y la precisión están aumentando; este es el cambio más fundamental.

La razón por la que la IA es tan letal es que la industria ya ha sembrado varias condiciones que pueden ser fácilmente explotadas por ella. Primero, los productos generalmente priorizan la experiencia sobre la seguridad; para ser fluidos, muchos riesgos se apagan o se ocultan por defecto, y los ataques automatizados aprovechan este vacío. Segundo, los fondos están altamente concentrados y pueden transferirse a través de varias cadenas en minutos; una vez que una herramienta automatizada obtiene acceso, la escala y la velocidad no pueden ser igualadas por el esfuerzo humano. Tercero, el uso de nuevos modelos de permisos como autorización, Permit y abstracción de cuentas está aumentando, y una sola firma puede movilizar activos mucho mayores que en el pasado, lo que es propenso a ser abusado en masa por scripts. Cuarto, la expansión de la industria es demasiado rápida; la dependencia de servicios frontales, terceros y diversas herramientas significa que cualquier eslabón roto puede afectar a todo el sistema, y la IA hace que encontrar y romper el eslabón más débil sea más rápido y más barato.

Por lo tanto, en mi opinión, no son solo estos factores y la IA en paralelo, sino que la IA ha elevado simultáneamente la superficie de ataque de toda la industria y las pérdidas por incidente a nuevas alturas.

Alvin Kan, COO de Bitget Wallet: El núcleo sigue siendo que los beneficios y costos de los ataques han cambiado. Cuanto más concentrados están los activos, mayores son los beneficios tras un ataque exitoso; la IA también ha reducido los costos de encontrar vulnerabilidades, escribir código de ataque y realizar pruebas repetidas. Los defensores deben enfrentar intentos más frecuentes y a mayor escala.

Al mismo tiempo, los sistemas detrás de los productos son cada vez más complejos. Una sola operación del usuario puede involucrar billeteras, frontales, contratos, puentes entre cadenas y servicios de terceros. Cada eslabón, visto por separado, tiene medidas de seguridad, pero eso no significa que, al conectarlos, todo el proceso sea seguro. Cómo se transmiten los permisos, cómo se verifica la identidad y qué sucede si un servicio falla, todo debe ser revisado dentro del proceso de negocio completo.

La búsqueda de conveniencia en los productos también necesita avanzar en sincronía con la gestión de permisos. Las transacciones de un solo clic, las estrategias automatizadas y la autorización de sesiones tienen un valor práctico, pero si se reducen los pasos de operación, la comprensión del usuario sobre el rango de autorización también disminuye, lo que puede llevar a la situación de "la experiencia se vuelve cada vez más simple, pero los permisos entregados son cada vez más complejos". Los nuevos modelos de permisos no son necesariamente más peligrosos; lo clave es si limitan claramente el monto, el plazo y las operaciones ejecutables, así como si el usuario puede revocar fácilmente.

Ai Yi:

1. En los últimos años, el valor de mercado de las criptomonedas ha explotado, y los "corderos" se han vuelto más gordos; el "costo-beneficio" de atacar criptomonedas ha aumentado notablemente;
2. La popularización y el desarrollo de la IA han reducido efectivamente el costo de los ataques, haciendo que los hackers sean más "inteligentes";
3. Los bloques de Lego de DeFi se apilan cada vez más altos, la innovación en los métodos de juego y la complejidad de los protocolos han reducido en cierta medida la estabilidad del sistema;
4. Las criptomonedas son especialmente sensibles a las tendencias y oportunidades; tanto el Restaking como el Perp DEX, cuando están en auge, verán aparecer una gran cantidad de nuevos proyectos, pero la auditoría y supervisión no han seguido el ritmo, y los propios proyectos pueden sacrificar algunas cosas para aprovechar la oportunidad.

3. Al participar en actividades en la cadena, muchas personas, por ganancias, liquidez o experiencias automatizadas, necesitan firmar delegaciones de permisos amplios. ¿Has elegido firmar autorizaciones a pesar de conocer los riesgos? ¿Cuáles fueron tus consideraciones en ese momento? Mirando hacia atrás, ¿hay riesgos ocultos que no pudiste prever en ese momento?

Beosin: No he tenido un accidente de seguridad significativo relacionado con autorizaciones, pero he observado que los usuarios no conocen los riesgos o saben que pueden haber riesgos, pero aún así eligen firmar autorizaciones. Las consideraciones iniciales suelen ser posibles recompensas de airdrop o ganancias de liquidez, "este proyecto es famoso, debería ser confiable", "hay tantas personas usándolo, no debería haber problemas". Este tipo de consideraciones a menudo hace que los usuarios se conviertan fácilmente en víctimas de ataques de phishing.

Además, los usuarios a menudo olvidan cancelar autorizaciones después de otorgarlas o no las cancelan por conveniencia, y si el contrato que obtiene la autorización tiene vulnerabilidades, los hackers pueden aprovecharlo y causar pérdidas. Este año ha habido muchos casos de este tipo en Ethereum y BNB Chain, donde contratos que no se han utilizado durante años fueron descubiertos por hackers, y muchos usuarios no han cancelado las autorizaciones de esos contratos, lo que llevó a que los hackers aprovecharan las vulnerabilidades y transfirieran los activos criptográficos de los usuarios correspondientes.

Mankun Blockchain Legal Services: Puedo entender por qué algunas personas aceptarían este tipo de compromisos. La autorización repetida es realmente molesta y puede aumentar los costos de transacción; la automatización también tiene una necesidad práctica. Pero creo que "saber que hay riesgos" y "saber exactamente qué riesgos estás asumiendo" son dos cosas diferentes.

Para mí, al juzgar si una autorización vale la pena, es necesario aclarar la autorización específica hacia la otra parte y el monto, así como cómo revocarla; no se pueden omitir estas preguntas. Lo que a menudo se pasa por alto es que el impacto de la autorización puede durar más que la transacción en sí. Por ejemplo, ciertas autorizaciones de tokens sin límite pueden seguir cubriendo los tokens de ese tipo que se transfieren a la misma dirección en el futuro.

Por lo tanto, prefiero limitar primero el rango de posibles pérdidas antes de considerar los beneficios. Si solo es para una expectativa de ganancias de unos pocos cientos de pesos, pero expone activos mucho mayores de lo necesario a una autorización a largo plazo, creo que no vale la pena.

Fuguo: Este tipo de escenarios son muy comunes; yo también he tenido experiencias de firma ciega. A veces, la billetera solo muestra una cadena de información de firma hexadecimal, y es difícil para un usuario promedio juzgar directamente la operación correspondiente, los permisos otorgados y los riesgos potenciales.

En escenarios como DeFi, puentes entre cadenas y minería de liquidez, para simplificar las operaciones y mejorar la eficiencia del capital, también he firmado autorizaciones de límite ilimitado, Permit2, o he autorizado protocolos automatizados para ejecutar operaciones. Las consideraciones en ese momento eran muy prácticas: por un lado, este es un modelo de interacción que se ha formado a largo plazo en DeFi; sin autorización, no se pueden utilizar los servicios; por ejemplo, los tokens ERC-20 necesitan ser autorizados primero para que el contrato pueda llamar a transferFrom para transferir activos. Por otro lado, la reputación de protocolos maduros, los informes de auditoría y el consenso de la comunidad también hacen que sea fácil bajar la guardia.

A menudo no es que no se conozcan los riesgos, sino que se está haciendo un balance entre conveniencia, eficiencia de capital y seguridad.

Al reflexionar después, me di cuenta de que lo que subestimé no fueron las vulnerabilidades del contrato, sino que la autorización en sí es una deuda de seguridad acumulativa. Confiamos en los protocolos, pero posteriormente podemos enfrentar riesgos como secuestro del frontend, cambios en los permisos de administrador, ataques a contratos dependientes, interceptación de firmas y retrasos en la difusión. Bajo nuevos modelos de permisos como Permit2, abstracción de cuentas y EIP-7702, la firma ya no es solo una confirmación de transacción única, puede abrir permisos para operaciones de activos más complejas.

Ahora hago una evaluación de riesgos para cada autorización: aclaro los beneficios, la parte autorizante, la duración, el método de revocación y la peor pérdida posible. Un error común en la cadena es pensar que si se puede revocar técnicamente, el riesgo es controlable.

Mi forma personal de gestión de riesgos es la separación de direcciones: una clave privada, una dirección debe autorizarse solo a un único proveedor de servicios; cuando necesito usar el servicio, transfiero fondos a esa dirección por separado.

Jason, investigador de Biteye: He tenido experiencias, pero generalmente participo con una nueva billetera, solo colocando los fondos necesarios para esa vez. Por ejemplo, para comprar criptomonedas más rápido, he firmado autorizaciones automatizadas de una billetera de intercambio. Aunque tiene una lista blanca de IP y un límite de caducidad automática de 7 días, los riesgos como el secuestro de sesiones del navegador aún existen. En la era de Internet, hay quienes dicen que a las personas les gusta intercambiar privacidad por conveniencia, pero en el mundo de las criptomonedas, lo que se intercambia es seguridad. La conveniencia es inmediata, el riesgo es tardío, y es difícil para las personas comunes equilibrar. Así que ahora revoco las autorizaciones después de usarlas, y muchas billeteras también admiten esta función.

BlockSec: Creo que casi todos los que participan profundamente en la cadena han firmado. Para usar un protocolo o aprovechar una nueva oportunidad, al final, se hace un balance entre eficiencia y riesgo, y se hace clic en aceptar.

Sin embargo, no se puede culpar completamente a los usuarios por esto. Muchos protocolos, para mejorar la experiencia y ahorrar en el gas de autorización, solicitan por defecto un límite de autorización ilimitado o una autorización mucho mayor de lo que realmente se necesita para la transacción. Cuando deseas usarlo, aparece un cuadro de autorización así, y son muy pocos los que realmente logran autorizar según la necesidad. El riesgo se transfiere silenciosamente a los usuarios: piensas que solo estás autorizando un uso, pero en realidad estás dejando abierta la posibilidad de que este contrato use tus activos en el futuro. Los protocolos tienen responsabilidad en esto; dejar la conveniencia para sí mismos y el riesgo para los usuarios es, en sí mismo, una falta de responsabilidad.

Ahora, al mirar hacia atrás, hay dos tipos de riesgos que no se previeron adecuadamente en ese momento. Uno es la cola larga de autorizaciones, donde olvidas revocar el límite una vez que se ha agotado, quedando colgado en la billetera. Si ese protocolo es atacado en el futuro, o si tu clave se ve comprometida en otro lugar, esas antiguas autorizaciones grandes se convierten en una puerta de salida lista. El otro tipo es el contenido de la firma que no se entiende; muchas autorizaciones excesivas o maliciosas están ocultas en una transacción que parece normal. Sin simulaciones o revisiones detalladas, la persona promedio no puede darse cuenta de lo que realmente ha firmado.

Desarrollé dos hábitos: uno es revisar y revocar regularmente las autorizaciones que ya no necesito, y el otro es usar herramientas de simulación antes de firmar para ver qué permisos se otorgarán y cómo quedará la cuenta después de la transacción. Pero depender solo de la autodisciplina de los usuarios no es suficiente; los protocolos deberían solicitar por defecto solo los límites necesarios y hacer de la autorización mínima una práctica estándar de la industria, en lugar de exigir autorizaciones ilimitadas desde el principio.

Alvin Kan, COO de Bitget Wallet: Entiendo las consideraciones prácticas detrás de esta elección. Al participar en transacciones, gestión de liquidez o estrategias automatizadas, confirmar cada transacción puede afectar la eficiencia, y la autorización repetida también puede aumentar los costos. Los usuarios a menudo sopesan entre oportunidades de ganancias, conveniencia operativa y riesgos de seguridad, especialmente cuando se enfrentan a protocolos familiares, es fácil pensar "he usado esto muchas veces sin problemas, esta vez también debería estar bien".

Pero lo que más se subestima es la continuidad de la autorización. Los usuarios piensan que solo han completado una operación, pero en realidad, los permisos que dejan pueden seguir siendo válidos después de que la operación haya terminado. Algunas firmas fuera de la cadena no requieren el pago de gas, pero aún pueden otorgar permisos de transferencia de activos, y no necesariamente se ejecutan de inmediato.

El estado de seguridad al autorizar no garantiza que siempre sea seguro en el futuro. Si el contrato relacionado puede actualizarse o los permisos de gestión son comprometidos más tarde, los objetos que originalmente eran de confianza también pueden cambiar. Para ciertas autorizaciones de tokens que aún son válidas, los activos similares que se transfieren a la misma dirección también pueden seguir expuestos a riesgos.

Ai Yi: Para ser honesto, es bastante difícil de evitar, especialmente en situaciones de "apuro", como cuando se apresuran a vender un airdrop y caen en un enlace falso, o eligen una autorización ilimitada para acortar el tiempo de transacción de memes. Todos hemos sufrido pérdidas, es una situación de "entiendo la lógica, pero no puedo evitarlo".

4. Ahora los hackers comienzan a utilizar IA para realizar phishing preciso, suplantar identidades y personalizar mensajes, llevando a cabo ataques de ingeniería social. En tu opinión, ¿qué nuevos cambios traerá esto a la seguridad de los activos criptográficos y cómo deberían los usuarios comunes enfrentar este tipo de estafas?

Beosin: Las características de los ataques de ingeniería social impulsados por IA son la automatización y la escalabilidad, al mismo tiempo que los objetivos de ataque son más precisos, a menudo dirigidos a ballenas, participantes de proyectos y KOLs para phishing dirigido. Para los usuarios comunes, cualquier operación de autorización debe verificar cuidadosamente la dirección del contrato y el alcance de los permisos, y no deben firmar solicitudes de transacción cuyos resultados no puedan confirmar. En general, los usuarios pueden prestar atención a las últimas amenazas de riesgo compartidas por empresas de seguridad o comunidades criptográficas, entender las formas de ataque relacionadas y estar atentos a identificar mensajes o enlaces de phishing generados por IA que suplantan a servicios de atención al cliente, proyectos o KOLs.

Servicios legales de blockchain de Mankun: Creo que el mayor cambio es que los estafadores pueden hacer que un engaño parezca más real con un costo mucho menor, y pueden dirigirse a muchas personas al mismo tiempo. La IA puede ayudar a generar discursos naturales, materiales de identidad falsos, y también puede imitar la voz de conocidos y crear videos. Mi experiencia anterior es un ejemplo de esto; tuve varias conversaciones de voz largas con el "proyecto", aunque la IA aún no puede replicar completamente el acento y el tono, en realidad pueden imitar la voz de personas reales de manera manual. Mi

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.