Una semana después del robo récord a Binance, otras dos instituciones financieras fueron asaltadas con pocos días de diferencia: una en Brasil y otra en Francia. Ninguno de los dos ataques se ha vinculado con Binance ni entre sí. Lo que comparten es más útil para una pequeña empresa que cualquier atribución: el dinero salió por sistemas en los que las víctimas confiaban, y la rapidez con que se reportó el robo determinó cuánto se pudo detener.
Mercado Bitcoin: "contenido", y luego cuatro horas más
En la madrugada del 2 de noviembre, un atacante empezó a sacar criptomonedas de Mercado Bitcoin. Según la firma de análisis de blockchain Bitquery, las billeteras en línea del exchange en diez blockchains se vaciaron en unos 25 minutos; solo la billetera de Ethereum perdió 29.5 millones de dólares en 24 minutos. Esa tarde el exchange dijo que había "identificado y contenido con rapidez un incidente de seguridad", suspendió depósitos y retiros, y dijo que no hubo pérdidas para clientes ni filtración de datos.
Los analistas de blockchain cuentan una historia menos ordenada. Bitquery encontró que, después del anuncio de "contenido", el atacante vació más de 36,000 direcciones de depósito de clientes en Ethereum durante unas cuatro horas más, y otras en menor número en otras blockchains. Los montos de cada una eran mínimos, unos 266,000 dólares en total, pero los analistas dicen que muestra que el atacante podía firmar transacciones de direcciones de depósito de clientes, no solo de las billeteras propias del exchange. Mercado Bitcoin no ha dicho cómo entró el atacante.
Los emisores de stablecoins, encabezados por Tether y Circle, congelaron parte de los fondos robados, y Mercado Bitcoin dice que ya hay más de 15 millones de dólares congelados. El exchange dice que repondrá el saldo de cada cliente con recursos propios. Su sitio reabre en modo de solo lectura el 9 de noviembre para que los clientes consulten sus saldos; las operaciones y los retiros volverán después, tras pruebas independientes.
Crédit Mutuel Arkéa: por el proveedor, desde la cuenta del propio banco
El caso francés no empezó en el banco. Empezó el 2 de noviembre con ZachXBT, un investigador independiente de blockchain, que detectó retiros de más de 106 millones de dólares desde exchanges de criptomonedas a nombre de una entidad europea sin identificar, y después subió la cifra a más de 133 millones. En la noche del 3 al 4 de noviembre nombró a la entidad: Crédit Mutuel Arkéa.
El banco lo confirmó ese mismo día. Los atacantes "pasaron por la plataforma de uno de nuestros proveedores", dijo, y luego "usaron la cuenta propia de Crédit Mutuel Arkéa para hacer transacciones hacia otros actores bancarios". El dinero se convirtió en criptomonedas en plataformas especializadas. El banco descartó un error humano, habló de "un ataque sofisticado desde el exterior" y no ha nombrado al proveedor. Negó los reportes de prensa de que Fortuneo hubiera sido la puerta de entrada. No se accedió a cuentas ni datos de clientes, aunque algunos clientes no pudieron hacer transferencias en las apps del banco el 4 de noviembre.
El banco presentó una denuncia esa mañana y la sección de cibercrimen de la fiscalía de París abrió una investigación por un ataque organizado a un sistema de datos. Parte de los fondos se bloqueó. Según ZachXBT, la lentitud en revelar el ataque permitió lavar más de 30 millones de dólares que de otro modo se habrían podido congelar.
Qué debería llevarse una pequeña empresa
El camino del proveedor es el camino del fraude por correo. El dinero de Arkéa no salió porque alguien entrara a la bóveda del banco. Salió por la plataforma de un proveedor que tenía permiso para iniciar pagos. Eso es, a una escala mucho mayor, exactamente como funciona la mayoría del fraude de facturas contra pequeñas empresas: se compromete el correo de un proveedor, cambian los datos bancarios de una factura y el pago sale por tu propio proceso bancario, perfectamente legítimo.
Los minutos importan más que la atribución. En ambos casos, el dinero que se recuperó se recuperó porque un tercero, un emisor de stablecoins o un exchange, lo congeló rápido. En el caso de Arkéa, un investigador externo lo notó antes de que el banco dijera nada. Para una empresa que transfirió dinero a un estafador, el equivalente es llamar a la línea de fraudes del banco en la primera hora. Pasados uno o dos días, el dinero casi siempre ya no está.
"Contenido" es una afirmación, no un hecho. Mercado Bitcoin dijo que el ataque estaba contenido mientras, según la blockchain, seguía en marcha. La primera declaración de cualquier organización durante un incidente es su mejor suposición. Si tu proveedor te dice que un incidente terminó, pregunta en qué evidencia se basa.
Mantén chico el saldo operativo. Los exchanges guardan solo una parte de sus fondos en billeteras en línea precisamente porque son las que se pueden robar rápido. Una empresa puede hacer lo mismo con sus cuentas bancarias: que la cuenta de la que salen los pagos tenga lo que necesita, y el resto en un lugar donde moverlo requiera más pasos.
Qué hacer en concreto
Verifica por teléfono cualquier cambio en datos de pago. Usa un número que ya tenías, no el del mensaje que pide el cambio, y exige que una segunda persona apruebe el cambio antes de que se mueva el dinero.
Usa los controles de tu banco. La doble aprobación de transferencias, los límites diarios y las alertas de nuevos beneficiarios suelen ser gratis. Actívalos.
Sabe qué proveedores pueden mover tu dinero. Proveedores de nómina, plataformas de pago, contadores con acceso bancario: haz la lista, y pregúntale a cada uno qué protecciones tiene y cómo te avisaría si lo vulneraran.
Decide quién llama al banco. Define desde ahora quién contacta la línea de fraudes de tu banco si un pago sale mal, y denúncialo a la policía y, en Estados Unidos, al FBI en ic3.gov. Hazlo dentro de la primera hora.
No guardes fondos de la empresa en exchanges de criptomonedas. Si tu empresa tiene criptomonedas por cualquier razón, no deben estar en un exchange más tiempo del necesario.
El resumen
Un exchange brasileño y un banco francés, con pocos días de diferencia y sin relación hasta donde se sabe. En uno, el atacante seguía vaciando billeteras horas después de que el incidente se declaró contenido. En el otro, el dinero salió por la plataforma de un proveedor, y un investigador externo dio la alarma antes que el banco.
Las defensas que habrían ayudado son las mismas que protegen a una empresa de 50 personas del fraude de facturas: controla quién puede mover dinero, verifica cada cambio, mantén delgada la cuenta de pagos y llama rápido al banco.
Fuentes
- Hackers drain more than $46 million from Brazil's Mercado Bitcoin — The Record
- Mercado Bitcoin sofre ataque hacker de US$ 40 mi, mas descarta perdas para clientes — Bloomberg Línea
- Mercado Bitcoin sofre ataque hacker dias depois da Binance — InfoMoney
- Mercado Bitcoin hack investigation — Bitquery
- Mercado Bitcoin hack continued hours after exchange said attack was contained — CoinDesk
- Mercado Bitcoin marca reabertura da corretora — Livecoins
- French bank confirms cyber heist — The Record
- Crédit Mutuel Arkéa: cyberattaque pour près de 100 millions d'euros, enquête ouverte — AFP, vía Boursorama
- Ce que l'on sait du piratage du Crédit Mutuel Arkéa — franceinfo
