Gopax se detiene y Binance es hackeada... Prueba de respuesta integral de seguridad de los intercambios

[Reportero de Blockmedia, Oh Su-hwan] En medio de una serie de incidentes de hackeo y filtración de datos personales en intercambios de activos digitales (activos virtuales) tanto nacionales como internacionales, Gopax recientemente suspendió su servicio de transacciones debido a amenazas de hackeo.

A medida que las amenazas de seguridad afectan no solo el robo de activos y la filtración de información, sino también la operación de los intercambios, se señala la necesidad de un sistema de respuesta integral que pueda asegurar el control de acceso interno, la prevención de la propagación de incidentes, el seguimiento de activos robados y la continuidad del servicio.

Según la industria, Gopax recibió un correo electrónico de amenaza de un grupo que afirmaba ser un hacker el 6 de este mes, lo que llevó a la suspensión de los servicios de depósito y retiro de activos digitales y de compraventa. Hasta el día de hoy, tres días después, las transacciones no se han reanudado.

Gopax había confirmado previamente que hubo accesos anormales en algunas cuentas de usuarios a principios del mes pasado. Este acceso, que comenzó a principios de septiembre, resultó en la filtración de datos personales de siete clientes y dos empleados actuales y anteriores.

Para proteger los activos de los usuarios, Gopax comenzó a trasladar los activos que mantenía en su hot wallet a una cold wallet. Sin embargo, a medida que la suspensión de las transacciones se prolonga, se vuelve cada vez más importante no solo prevenir incidentes, sino también tener la capacidad de proteger los activos de los usuarios y mantener el servicio de manera estable cuando se presenta una amenaza.

Apuntando a la periferia, infiltrándose internamente

La Comisión de Servicios Financieros también ha comenzado una revisión de seguridad exhaustiva de más de 580 empresas financieras, incluidos los proveedores de activos virtuales, hasta fin de año en respuesta a los recientes incidentes de violación. Los principales puntos vulnerables identificados por las autoridades financieras no son los sistemas informáticos centrales, sino los sistemas periféricos conectados externamente, como los servicios web, móviles y las interfaces de programación de aplicaciones (API).

Recientemente, la violación de Bithumb también reveló la misma vulnerabilidad. Un individuo no autorizado accedió al grupo de trabajo móvil interno de Bithumb, "DauOffice", lo que resultó en la filtración de información de 6,444 clientes y 715 empleados. Aunque la información de 5,600 clientes estaba cifrada, los datos de los otros 844, que incluían números de identificación y cuentas bancarias, así como copias de documentos de identidad, fueron expuestos sin protección.

Bithumb ha estado aumentando constantemente su presupuesto de protección de datos y su personal dedicado, pero no pudo evitar la filtración a través de sistemas de trabajo proporcionados por empresas externas. Esto confirma que no solo es necesario revisar la escala de inversión en seguridad, sino también los derechos de acceso y el sistema de gestión de información de los sistemas de conexión externa.

El incidente de Binance es aún más grave. Un grupo de hackers vinculado a Corea del Norte infiltró el sistema interno utilizando un método de ingeniería social, enviando ofertas de empleo falsas a ingenieros para introducir malware. Como resultado, el 29 de septiembre, aproximadamente $6.4 mil millones (alrededor de 8.8 billones de won) en activos fueron robados de diez redes blockchain.

Estructura en la que un grupo de hackers vinculado a Corea del Norte utiliza TRON y Binance Smart Chain (BSC) para transmitir comandos de malware y datos cifrados. Los atacantes ocultaron información relacionada con el malware en la información de transacciones de blockchain para mantener la ruta de comunicación con los dispositivos infectados. Fuente: Chainalysis

Según la empresa de análisis de blockchain Chainalysis, los atacantes accedieron a un empleado de Binance a través de una plataforma de empleo legítima y realizaron dos entrevistas. Luego, hicieron que el empleado descargara una tarea de codificación que contenía malware, infectando su computadora y abusando de los derechos de acceso a herramientas de inteligencia artificial (IA) internas para ampliar su alcance de infiltración.

Aunque Bithumb y Binance tienen diferentes tipos y escalas de daño, ambos comparten la característica de que el entorno de trabajo de los empleados se convirtió en la ruta de ataque. No importa cuán fuerte se refuercen las medidas de seguridad del sistema de transacciones centrales, si se roban los derechos de acceso interno desde un sistema de trabajo conectado externamente, el ataque puede extenderse a los sistemas principales.

Sin embargo, los intercambios nacionales operan un sistema de separación de redes que divide la red de Internet externa de la red de trabajo interna, lo que hace que los ataques como los de Binance sean relativamente difíciles. Esto se debe a que, incluso si se infectan con malware a través de Internet, hay una barrera que impide que el ataque se extienda a la red interna donde se encuentran los sistemas principales, como la aprobación de transacciones.

Un representante de un intercambio nacional comentó: "En nuestro país, debido a la separación de redes, la red de Internet externa y la red de trabajo central están separadas, por lo que es relativamente difícil infiltrarse en el sistema interno y robar activos como en Binance."

La clave es bloquear rápidamente los retiros anormales

Sin embargo, la separación de redes no detiene todos los incidentes de violación. Como en el caso de Bithumb, todavía existe el riesgo de filtración de datos personales en los sistemas de trabajo conectados externamente, y si se rompen los derechos de acceso interno o el sistema de aprobación de transacciones, no se puede descartar la posibilidad de robo de activos.

El incidente de Binance muestra que incluso después de darse cuenta de la fuga de activos, es difícil recuperar completamente la situación. Según la empresa de seguridad blockchain TRM Labs, tras el incidente, aproximadamente $2.7 mil millones en activos fueron congelados gracias a las acciones de empresas relacionadas como Tether y Circle.

Sin embargo, en la billetera de los atacantes aún quedaban aproximadamente $2.4 mil millones en activos importantes, como Ethereum y Bitcoin, y los fondos robados continuaron moviéndose en las redes de TRON y Solana.

Los atacantes utilizaron servicios de finanzas descentralizadas (DeFi) para dificultar el seguimiento de los fondos. Emitieron tokens propios en la red TRON para utilizarlos como un canal de lavado de dinero en un fondo de liquidez, o trasladaron tokens obtenidos de un servicio de préstamo a otra billetera para ocultar la ruta de movimiento. También emplearon métodos para mover activos a través de múltiples blockchains.

Cuando los activos robados se dispersan de esta manera a través de varias blockchains y servicios DeFi, se vuelve aún más difícil para los intercambios rastrear el flujo de fondos y solicitar congelaciones. Dado que los activos que han salido al exterior no tienen medios claros para ser recuperados, se analiza que la clave para reducir el daño es detectar y bloquear rápidamente los retiros anormales en las primeras etapas del incidente.

El sistema de parada de emergencia de los intercambios nacionales también debe ir más allá de simplemente bloquear los retiros y evaluar cuán rápido e independientemente funciona en situaciones de violación reales. La capacidad de filtrar transacciones anormales y prevenir fugas adicionales, incluso en situaciones donde se han robado derechos de aprobación internos, es crucial. En casos como el de Gopax, donde la suspensión de transacciones es inevitable, también se deben establecer procedimientos para normalizar el servicio de manera segura mientras se minimiza la incomodidad para los usuarios.

La capacidad de respuesta financiera tras un incidente es "habilidad"

La capacidad de respuesta financiera para compensar a los usuarios tras un incidente también es un desafío. La actual Ley de Protección de Usuarios de Activos Virtuales obliga a los operadores a suscribirse a seguros o fondos de compensación y a acumular reservas, pero no regula directamente la responsabilidad de los operadores por daños causados por hackeos.

En la Asamblea Nacional, se están discutiendo propuestas para fortalecer la responsabilidad de compensación de los operadores, centradas en proyectos de ley presentados por los miembros del Partido Democrático, Lee Kang-il y Park Sang-hyuk. Las autoridades financieras también están considerando la introducción de una responsabilidad de compensación sin culpa, que obligaría a compensar a las víctimas si se cumplen ciertos requisitos, independientemente de la intención o negligencia.

La Comisión de Servicios Financieros tiene la intención de examinar no solo los sistemas de conexión externa, sino también la gestión de derechos de acceso y la operación de controles internos del CEO y del CISO en esta revisión exhaustiva. En el primer trimestre del próximo año, se publicarán pautas de control interno de seguridad basadas en los resultados de la revisión, y se promoverá la creación de una "Ley de Seguridad Digital" para eliminar los vacíos en la regulación de seguridad de los proveedores de activos virtuales.

Un funcionario de la Comisión de Servicios Financieros declaró: "Dado que los recientes incidentes de violación en el sector financiero han ocurrido principalmente en sistemas de trabajo conectados externamente en lugar de en sistemas informáticos centrales, planeamos centrarnos en examinar los sistemas periféricos y la gestión de derechos de acceso que han sido descuidados hasta ahora durante esta revisión exhaustiva."

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.