El auge de los activos digitales alcanza alrededor de 562 millones de personas en el 2024, el equivalente al 6,8 % de la población mundial, transformando el panorama financiero global, creando nuevas oportunidades de inversión y transacciones digitales en segundos desde cualquier parte del mundo. El mercado para las finanzas descentralizadas (DeFi) y las decisiones de los reguladores en torno a la elaboración de marcos normativos para la tokenización de activos del mundo real representan una oportunidad y, a la vez, un reto para el tema de la seguridad de la información.
De muchas maneras se han denominado a las plataformas que realizan actividades con activos digitales. Por ejemplo, proveedores de servicios de activos digitales (PSAD) en el marco regulatorio de El Salvador, proveedores de servicios de activos virtuales (PSAV) conforme a los estándares de GAFI, proveedores de servicios de criptoactivos (PSCA) como en el MiCAS de la Unión Europea, o, inclusive, Money Services Business (MSB) según FINCEN en Estados Unidos con base al Bank Secrecy Act (BSA). Con el Guiding and Establishing National Innovation for U.S. Stablecoins Act, mejor conocido como el “Genius Act”, recientemente aprobado en Estados Unidos, se busca una mayor adopción de las monedas estables en cumplimiento de medidas antilavado de activos y contra el financiamiento del terrorismo (ALA/CFT).
En el fomento del uso de la tecnología y la aplicación de normativa de cumplimiento, los requerimientos en materia de seguridad de la información buscan la integridad, confiabilidad y accesibilidad de la información dentro de la infraestructura de las plataformas. Debido a la naturaleza digital de los activos, la información almacenada por los PSAD se ha convertido en un objetivo atractivo para los ciberdelincuentes. Históricamente, se han registrado numerosos casos de vulneraciones a las plataformas que resultaron en la pérdida de millones de dólares en monedas virtuales. Por ejemplo, el ataque a Mt. Gox en 2014, que resultó en la pérdida de 750.000 bitcoins; también el acceso no autorizado a Coincheck en 2018, donde se sustrajeron más de 500 millones de dólares, y, más recientemente, el acceso no autorizado por ciberdelincuentes vinculados a Corea del Norte al exchange Bybit en este año 2025, en donde se realizó el robo de aproximadamente 1,5 billones de USD en activos digitales, identificando múltiples direcciones en Ethereum vinculadas.
Otro tipo de ataques para los PSAD incluyen el phishing y la suplantación de identidad como amenaza común, a través de la utilización de correos electrónicos fraudulentos y sitios web falsos para engañar a los usuarios y robar sus credenciales de acceso, para luego transferir los fondos a direcciones fuera del control del titular de la cuenta. También pueden existir accesos no autorizados por parte de empleados o negligencias que pueden comprometer la seguridad de los activos de los clientes de la plataforma, como en el caso reciente de Coinbase, en donde el modus operandi de los ciberdelincuentes se basó en pagar sobornos a empleados de Coinbase que se encontraban en otras jurisdicciones. Los ciberdelincuentes tuvieron acceso a los datos de los clientes y luego realizaron ataques de ingeniería social a través del envío de correos maliciosos, con el objetivo de que los clientes enviaran fondos a los atacantes.
En la implementación de medidas de SI para los PSAD, esta puede abordarse en tres momentos: antes (preventiva), presente (en tiempo real) y después (post). Como medida preventiva, los PSAD pueden implementar medidas mínimas como el uso del múltiple factor de autenticación (MFA), el cual dificulta que atacantes vulneren las cuentas, incluso si logran obtener las credenciales de acceso a la misma. Por otra parte, el almacenamiento en billeteras frías o billeteras no conectadas a internet puede reducir el riesgo de robo de credenciales; sin embargo, el cliente juega un papel fundamental en la seguridad de las claves, como resguardarlas en un lugar seguro.
Como cualquier otra plataforma digital, las auditorías de seguridad y el pentesting de los exchanges y billeteras son medidas aplicables en todo momento para la identificación y explotación de vulnerabilidades en el sistema. Con ello, se busca que los red team, expertos en seguridad ofensiva, puedan identificar vulnerabilidades en la plataforma, superarlas y mejorar la infraestructura.Dentro de otras medidas que puede implementar la plataforma se encuentra el monitoreo y análisis de actividades sospechosas en tiempo real, como los intentos de inicio de sesión desde ubicaciones inusuales o diferentes a la ubicación proporcionada inicialmente por el cliente, así como desde dispositivos desconocidos. Como medidas post ataque, se encuentran las auditorías forenses a través del análisis y trazabilidad de transacciones en la blockchain, que permiten identificar direcciones y movimientos, conversión entre activos, así como plataformas a través de las cuales pueden moverse estos activos por parte de los atacantes, como se hizo recientemente en el caso de Bybit, que se explicó más arriba y que llevó a congelar USDC y USDT por parte de los emisores de monedas estables Circle y Tether, respectivamente.
