Hackeo de Bitfinex: ¿Qué pasó, quién lo hizo y cuáles son las últimas novedades?

Ah, 2016: parece que fue hace mucho tiempo, ¿verdad? Tras el trauma y la agitación de los últimos meses, es fácil olvidar que el mundo empezó a volverse loco mucho antes de que apareciera la COVID-19. En algún futuro resumen de “Los años más locos del siglo XXI”, 2016 y 2020 seguramente estará muy cerca en la clasificación.

En retrospectiva, parece que 2016 lo tuvo todo, salvo una pandemia mundial y una crisis económica. Hubo agitación política cuando Estados Unidos eligió a una estrella de telerrealidad con problemas mentales para la Casa Blanca y Gran Bretaña votó a favor de abandonar la Unión Europea.

Había un flujo aparentemente interminable de íconos musicales que cantaban sus últimos himnos: Bowie, Prince, Leonard Cohen y George Michael, por nombrar solo algunos. Corea del Norte. Estado Islámico. Los Chicago Bears rompiendo la maldición del macho cabrío (algo muy importante si eres estadounidense y te gusta el béisbol). Sí, todo parecía estar despegando a lo grande.

No sorprende que, en medio de tanta incertidumbre, las criptomonedas comiencen a cobrar impulso, a medida que la confianza de la gente en el orden establecido se tambaleaba. La palabra «bitcoin» comenzó a oírse con más frecuencia. Algo se tramaba.

Todos sabemos lo que pasó después, por supuesto. Pero, antes de los emocionantes días de la racha alcista del año siguiente, el mundo de las criptomonedas sufrió su propia conmoción. El hackeo de Bitfinex de agosto de 2016 pudo haber pasado desapercibido para la mayoría, pero, al igual que Trump y el Brexit, sus efectos siguen presentes cuatro años después. Las repercusiones que provocó siguen resonando en el mundo de las criptomonedas hasta el día de hoy y, como han demostrado los acontecimientos recientes, la historia aún no ha llegado a su fin.

Malas noticias

Es el tipo de cosas que ningún poseedor de criptomonedas quiere leer mientras comen sus cereales:

Los bitcoins robados sumaron 119.756, equivalentes a 72 millones de dólares. Si esto suena mal, recuerden que fue antes de que Bitcoin y las criptomonedas en general se volvieran locas. A precios actuales, estamos hablando de más de mil millones de dólares. Bitfinex era una de las plataformas de intercambio de criptomonedas más grandes del mundo en ese momento, lo que significa que el hackeo afectó potencialmente a cientos de millas de usuarios.

Bitfinex guardaba los fondos de sus clientes en billeteras multifirma, y ​​los retiros debían ser aprobados por BitGo, su custodia. Los hackers no solo lograron acceder a varias billeteras, sino que también descubrieron cómo eludir los límites de impuestos de retiro por BitGo. Fue un ataque cómodo y cuidadosamente planificado. Por su parte, BitGo asume cualquier responsabilidad por lo sucedido.

Tras el hackeo, los procedimientos de seguridad de Bitfinex fueron objeto de escrutinio y se cuestionaron las razones por las que la compañía había renunciado a usar almacenamiento en frío (donde las claves privadas se guardan fuera de línea) como complemento a sus protocolos multifirma. Algunos sugirieron que la brecha se debió a haber sido facilitada por alguien interno. Se suspendieron las operaciones en la plataforma mientras el personal intentaba averiguar qué había sucedido.

Aunque no fue tan catastrófico como el desastre de Mt. Gox dos años antes, el hackeo provocó conmoción en todo el mundo de las criptomonedas. ¿De qué servía bitcoin, o cualquier otra criptomoneda, si los hackers parecían capaces de robar grandes plataformas de intercambio con impunidad? Este sentimiento se reflejó en los mercados: la noticia provocó una caída del 20% en el precio de bitcoin.

La reacción

Cuatro días después de reportarse el hackeo, Bitfinex publicó otra entrada de blog para informar a los usuarios sobre lo sucedido. En ella, declararon lo siguiente:

'Después de mucha reflexión, análisis y consultas, hemos llegado a la conclusión de que las pérdidas deben generalizarse a todas las cuentas y activos.'

La compañía había decidido mitigar el impacto del golpe en los titulares de cuentas afectadas distribuyendo las pérdidas entre todas las cuentas. Como resultado, todos los clientes perdieron aproximadamente el 36% de sus activos en la plataforma.

Además, los clientes recibieron tokens BFX como compensación, a razón de un BFX por cada dólar perdido. Estos tokens podían canjearse en la plataforma de intercambio o usarse para comprar acciones de iFinex, la empresa matriz de Bitfinex. Si los usuarios optaban por esta última opción, recibirían Tokens de Derecho de Recuperación (RRT). Estos podrían canjearse por cualquier fondo perdido que se pudiera recuperar.

Inevitablemente, surgieron voces disidentes ante esta noticia. A medida que se esclarecía lo sucedido, se hizo evidente que solo unas pocas cuentas se habían visto afectadas. Es comprensible que muchos de aquellos cuyas cuentas no se vieron afectadas, y especialmente aquellos que poseían activos distintos de bitcoin, protestaran por verso obligados a sufrir una quita junto con los demás. Para justificar la política, Bitfinex argumentó que esta habría sido una práctica habitual si la empresa se hubiera visto obligada a liquidar.

A pesar de la inquietud generalizada, las medidas adoptadas resultaron exitosas y, en menos de un año, todos los tokens BFX emitidos se canjearon por su valor total o se intercambiaron por RRT. Quizás lo más impresionante de todo es que Bitfinex logró mantenerse en el mercado y continuó intentando compensar las pérdidas de sus usuarios.

La reacción y la gestión de Bitfinex ante la crisis fueron cruciales para la comunidad cripto. Si la plataforma hubiera quebrado, como hizo Mt. Gox, o hubiera intentado minimizar u ocultar la magnitud de sus pérdidas, la confianza en el sector se habría desplomado aún más.

Otra brecha de seguridad ya era bastante grave, pero si se hubiera descubierto que la plataforma afectada había accionado de forma turbia, la imagen pública de las criptomonedas habría sufrido un golpe aún más grave. Si las criptomonedas querían desafiar a las finanzas tradicionales, debían demostrar que enfrentaban sus reveses con responsabilidad. El 10 de agosto, una entrada de blog anunció que la plataforma estaba operativa de nuevo. Concluía con una nota de arrepentimiento:

Somos conscientes de que aún quedan muchas preguntas por responder y tenemos la intención de analizar el robo, la distribución de las pérdidas y nuestro plan de recuperación en próximos anuncios. Intentamos ser lo más transparente posible mientras seguimos intentando sacar el máximo provecho de esta terrible situación. Lamentamos la pérdida sufrida, pero seguimos confiando en Bitcoin, en la comunidad de inversores y en nuestro plan para compensar a nuestros clientes. Como siempre, estamos abiertos a comentarios y sugerencias constructivas de todas las partes.

Las secuelas

Bitfinex tenía ahora tres prioridades: compensar a sus clientes por las pérdidas sufridas, localizar los fondos desaparecidos y descubrir al responsable.

Desde el día del hackeo, comenzó a colaborar estrechamente con las fuerzas del orden de todo el mundo para intentar localizar los bitcoins desaparecidos e identificar a los hackers. Desafortunadamente, el progreso fue lento. En 2018, se anunció que las autoridades estadounidenses habían logrado recuperar alrededor de 27 bitcoins desaparecidos, que Bitfinex prometió distribuir entre los usuarios perjudicados. Era mejor que nada, ya que solo representaba una pequeña fracción (de hecho, el 0,023 %) de lo que se había perdido.

El rastro pareció perderse, aunque algunos de los fondos robados se habían rastreado hasta varias billeteras que permanecían inactivas. En junio de 2019, la cuenta de Twitter Whale Alert informó que alrededor de 172 BTC se habían transferido de una de esas billeteras a otra dirección desconocida. Días después, se supone que dos hermanos israelíes, Eli y Assaf Gigi, habían sido arrestados en Jerusalén, sospechosos de estar involucrados en el hackeo.

¿Misterio resuelto?

Cuando la policía allanó el domicilio de Eli Gigi, presuntamente incautó dos coches de lujo y una billetera de hardware. Sin embargo, esta billetera no contenía la misma cantidad de fondos robados en el hackeo. Los hermanos fueron detenidos bajo sospecha de estar involucrados en el hackeo de Bitfinex, así como en varios esquemas de phishing, donde usuarios de Reddit y Telegram fueron atraídos a sitios web falsos diseñados para simular plataformas de intercambio de criptomonedas reales.

Sus datos de inicio de sesión y de billetera se registraron y se utilizaron posteriormente para transferir fondos desde las plataformas de intercambio reales. Al parecer, la pareja llevaba tiempo involucrada en estafas de criptomonedas antes de ser arrestada.

No se sabe mucho sobre Assaf Gigi, quien, según se informa, guardó silencio durante su interrogatorio. Sin embargo, su hermano mayor, Eli, sin duda parece tener la experiencia necesaria para haber llevado a cabo el hackeo.

Graduado de la Universidad Hebrea de Jerusalén, presuntamente se alistó en una unidad informática de élite de las Fuerzas de Defensa de Israel (FDI). Esta unidad creó el infame gusano Stuxnet, descubierto en 2010, tras haber paralizado el incipiente programa nuclear iraní.

El consenso entre los expertos es que el entrenamiento militar no es estrictamente necesario para perpetrar los delitos de los que se acusa a los hermanos. A pesar de ello, no cabe duda de que Eli Gigi poseía un nivel de habilidad superior al requerido para el cargo. En su audiencia, Eli confesó su participación en los delitos de los que se le acusa, y añadió: «Me equivoqué, vengo de un mal lugar. Soy un buen chico y lo siento. Estoy dispuesto a cooperar».

La trama se complica

Si los afectados por el hackeo de Bitfinex pensaban que el arresto de los hermanos Gigi pondría fin a esta lamentable saga, se sintieron decepcionados. Se ha sabido poco de ellos desde su arresto, presumiblemente porque las fuerzas del orden israelíes y otras presentaron una denuncia contra ellos para su juicio. Las billeteras que se creía contenían más fondos desaparecidos permanecieron inactivas y no se realizaron más arrestos.

En mayo de este año, se detectó el traslado de una pequeña cantidad de una de las billeteras sospechosas. En junio, se informó que algunos bitcoins se estaban moviendo de nuevo, y que algunos supuestamente habían regresado a Bitfinex. En julio, se supone que algunas billeteras se habían reactivado, con más de 3500 bitcoins robados (valorados en 39 millones de dólares) transferidos en una serie de transacciones. Evidentemente, algunos de los hackers seguían por ahí, intentando deshacerse de su botón.

Se cree que, a medida que se ha reforzado la seguridad en el ámbito de las criptomonedas, se ha vuelto cada vez más difícil y menos rentable para los hackers deshacerse de los fondos robados. Esto a pesar de que el precio de los bitcoins robados en 2016 se ha disparado desde entonces.

A principios de este mes, Bitfinex subió aún más la apuesta. El martes 4 de agosto se publicó un anuncio que indicaba que la plataforma ofrecía una recompensa por cualquier información sobre los hackers. Sin embargo, la cosa no quedó ahí. La publicación también indicaba que los hackers serían recompensados ​​si devolvían los fondos robados. El comunicado confirmaba los detalles de la recompensa:

Las recompensas totales disponibles bajo este programa podrían alcanzar aproximadamente US$400 millones al precio actual de BTC si se recuperan todos los bitcoins. Los bitcoins robados, menos las recuperaciones en 2019, valen hoy US$1.344 millones, de los cuales el 30% equivale a US$403.288.427.

Los hackers recibieron instrucciones de transferir un satoshi desde la dirección de la billetera relacionada con el ataque a una dirección de billetera controlada y especificada por Bitfinex. Al parecer, los hackers aún no lo han hecho.

Conclusión: Asuntos pendientes

Hay diferentes maneras de analizar la decisión de Bitfinex de ofrecer una recompensa tan elevada a quienes los hackearon hace cuatro años. Algunos podrían considerarlo un paso positivo, que demuestra que la plataforma se toma en serio la recuperación de los fondos y el cierre definitivo de este episodio. Este es el enfoque que la propia Bitfinex intenta dar al anuncio, calificándolo como “una prueba más de nuestra determinación para recuperar los bienes perdidos”.

Se puede perdonar a Bitfinex por su desesperación por superar los sucesos de 2016. La reputación de la plataforma se vio gravemente dañada por el escándalo, a pesar de los exitosos esfuerzos realizados para compensar a sus usuarios. En aquel entonces era una de las plataformas de intercambio de criptomonedas más grandes del mundo, pero desde entonces, quizás inevitablemente, ha descendido en la clasificación.

Otros escándalos más recientes no han ayudado en este aspecto, pero la mancha de haber sido víctima de un hackeo tan cuantioso es posiblemente la más difícil de borrar. Se han aprendido lecciones difíciles, la seguridad ha mejorado, sigamos adelante.

Otra interpretación del anuncio es considerarlo una interpretación que podría sentar un precedente peligroso. Los críticos de Bitfinex lo presentarán como una última jugada desesperada y un estímulo tácito para los hackers de todo el mundo.

Un 25% de los bitcoins robados es una suma considerable y, dada la seguridad cada vez más estricta en las plataformas de intercambio, debería ser un incentivo tentador para que los hackers saquen su dinero. Después de todo, 403 millones de dólares son suficientes para que cualquiera pueda seguir adelante. Si esta recompensa disuadirá o no a las fuerzas del orden es otra cuestión.

Muchos argumentarán también que ofrecer a los ladrones una parte de su botón si devuelven el resto es una forma preocupantemente poco convencional de hacer negocios. ¿Sería probable que un banco u otra institución financiera convencional tomara una medida similar en circunstancias similares? ¿Por qué debería la gente confiar en las criptomonedas si estos delitos acaban siendo recompensados? ¿Qué impide que los hackers utilicen el dinero para financiar nuevos delitos? La declaración de Bitfinex plantea más preguntas que respuestas.

Si los hermanos Gigi son llevados a juicio, debería salir a la luz más información sobre el hackeo y los fondos robados. Parece claro que no fueron los únicos en orquestar el atraco, aunque podrían no querer o no poder identificar a sus cómplices. Será intrigante ver si son condenados y, de ser así, qué tipo de sentencias se les impondrán.

Hasta entonces, tendremos que esperar a ver qué sucede. Si toda esta saga nos dice algo, es que las plataformas de criptomonedas y sus usuarios siempre deberán priorizar la seguridad. Hemos avanzado mucho desde 2016 y los protocolos de seguridad han mejorado enormemente.

Sin embargo, el pasado tiene una curiosa forma de sorprenderte cuando menos lo esperas. Independientemente de tu opinión sobre la recompensa ofrecida y sus posibles consecuencias, no se puede discrepar con un aspecto de la declaración de Bitfinex: «Nadie en nuestra comunidad puede permitirse el lujo de ser complaciente con el ingenio de las bandas criminales para perpetuar nuevos tipos de fraude».

Si quieres conocer otros artículos parecidos a Hackeo de Bitfinex: ¿Qué pasó, quién lo hizo y cuáles son las últimas novedades? puedes visitar la categoría Noticias.