4 preguntas sin respuesta sobre el hackeo de Bitfinex

Ayer recibimos la impactante noticia del arresto de una pareja neoyorquina, Ilya "Dutch" Lichtenstein y Heather R. Morgan, por su presunta participación en el intento de blanquear Bitcoin , cuyo valor actual asciende a la asombrosa cifra de 4.600 millones de dólares. Dichos Bitcoin fueron robados de la plataforma de intercambio global Bitfinex en agosto de 2016, y en los cinco años transcurridos desde entonces, se ha obtenido poca información adicional sobre el ataque.

Ese largo silencio (junto con lo que llamaremos algunosfactores más líricos) generó una intensa fascinación con las noticias de ayer. Pero, a pesar de lo mucho que aprendimos, aún hay mucho que T , incluyendo preguntas sin respuesta que podrían llevarnos a un abismo mucho más profundo. Algunas de las incógnitas más importantes tienen que ver con el hackeo en sí, sus consecuencias para el negocio y el desconcertante comportamiento de los presuntos blanqueadores durante el período en que se les acusa de intentar blanquear los BTC robados.

Este artículo es un extracto de The Node, el resumen diario de CoinDesk con las noticias más importantes sobre blockchain y Cripto . Puedes suscribirte para recibir la información completa. boletín informativo aquí.

Como es de esperar, lidiar con preguntas sin respuesta implica cierta especulación. He hecho todo lo posible por destacar dónde aparece dicha especulación, pero en general, nos desviamos del tema, así que tomen lo que sigue a continuación principalmente como una serie de hipótesis y experimentos mentales.

¿Cómo se produjo el hackeo inicial?

Un elemento crucial, pero fácilmente ignorado, de los cargos de ayer es que no alegan que Lichtenstein y Morgan fueran responsables del hackeo inicial de Bitfinex. Los cargos no ofrecen ninguna teoría específica sobre cómo obtuvieron las claves privadas que controlaban las monedas. Una posibilidad es que la pareja comprara los BTC a los hackers iniciales con descuento. Otra es que simplemente actuaran como agentes de los hackers, aunque esto es menos probable dado su control directo de las claves.

Sin embargo, existen algunas razones circunstanciales para creer que la pareja podría haber estado involucrada en el hackeo y que el Departamento de Justicia simplemente no tenía pruebas suficientes para acusarlos de algo más que lavado de dinero.

La evidencia más intrigante (aunque, de nuevo, completamente circunstancial) es que Morgan parece haber estado completamente obsesionado con la "ingeniería social", un tipo de hacking que se centra en comprometer a las personas en lugar del código. En una extensa presentación realizada en la serie de eventos... Salón de Nueva York, describió métodos de engaño e intimidación que había utilizado en ejercicios del mundo real para influir en individuos yobtener accesoa espacios y organizaciones.

Esto es particularmente intrigante dada la naturaleza del ataque original, que implicó comprometer las protecciones multifirma que pasaban por el proveedor de seguridad BitGo. EnInformes de CoinDeskEn ese momento, Michael McSweeney escribió que «para retirar una cantidad tan grande de fondos, BitGo probablemente habría tenido que firmar esas transacciones», debido a una capa de seguridad multifirma implementada para los usuarios de Bitfinex. Esto plantea la posibilidad de que se usara ingeniería social en el hackeo.

Se ha señalado que Morgan entrevistó a Matt Parrella, ex director de cumplimiento de BitGo, para una columna de Forbes de 2020 titulada, sorprendentemente,“Los expertos comparten consejos sobre cómo proteger su negocio de los ciberdelincuentes”.Esto es algo que sorprende bastante, pero puede que no signifique mucho dado que Parrella solo trabajó brevemente en BitGo en 2019 y 2020.

¿Por qué los delincuentes expertos en criptomonedas almacenarían claves privadas en la nube?

Una de las cosas más extrañas reveladas en los documentos de acusación de ayer es que las autoridades afirman haber podido incautar los BTC robados tras acceder a las claves privadas que Lichtenstein/Morgan tenían almacenadas en un servicio en la nube. Mantener las claves privadas desconectadas en todo momento es ONE de los principios de seguridad más fundamentales de la gestión de Cripto , y es improbable que alguien que se dedica a blanquear Cripto a tal escala no sea consciente de ello.

Hay algunas maneras no conspirativas de entender las claves almacenadas en línea. La más importante es que las claves estaban cifradas, lo cual al menos se puede imaginar que alguien considere seguro.

El Cripto Eric Wall sugirió además que, a pesar de las afirmaciones en los documentos de acusación, es posible que las claves no hayan sido descifradas por las fuerzas del orden. En cambio, es posible que hayan sido... entregado por los culpablescuando se les confrontó. Eso también podría explicar por qué una gran parte de las monedas robadas fue...se mudó el 1 de febreroQuizás los acusados de lavar dinero estaban demostrando que las llaves funcionaban antes de entregar su botín a los federales.

También vale la pena recordar que el BTC en cuestión valía aproximadamente 70 millones de dólares al momento del hackeo. Este valor se disparó a varios miles de millones en cinco años, posiblemente superando la capacidad de los atacantes para mejorar sus prácticas de seguridad.

¿Por qué estos multimillonarios Secret estaban tan presentes en Internet?

Lamentablemente, tenemos que hablar de Razzlekhan, la extraña y vergonzosa personalidad rapera de Morgan. Morgan inundó TikTok y YouTube con un extraño cebo para influenciar, incluyendo mucho rap, mientras escribía contenido de negocios y tecnología para Forbes.perennemente incompleto Red de colaboradores. Liechtenstein publicó al menos una Publicación mediana sobre Cripto y publicó sobre Cripto en Twitter. Este contenido, parte del cual se volvió privado tras los arrestos, es solo un hilo de la extensa presencia web de Morgan y, en mucha menor medida, de Lichtenstein.

La pregunta es simple: ¿por qué? La mayor parte de esa actividad tuvo lugar después de que la pareja controlara una fortuna en Bitcoin . ¿Por qué buscar influencia en línea con tanto dinero? (Morgan probablemente ganaba menos de 100 dólares por cada contribución a Forbes).

En definitiva, solo podemos especular. Pero la respuesta probablemente involucre impulsos muy personales, en particular el deseo de reconocimiento y respeto. Parece claro que Morgan y Lichtenstein querían ser vistos como empresarios serios (aunque creativos y peculiares).

Por ejemplo, ambos se presentaron como socios enDemandpath, un supuesto fondo de inversión centrado en "sistemas distribuidos, plataformas en la nube e IA basada en datos (inteligencia artificial)". Todavía no he descubierto información sobre sus inversiones, por lo que todo el asunto puede haber sido un BIT complicado. Juego de rol en vivo Como suele decirse de la inversión ángel en Cripto. Morgan también se presentó como directora ejecutiva de Salesfolk, una empresa de marketing por correo electrónico.

Lo más increíble es que Morgan no dejó de publicar ni siquiera cuando las paredes se cerraban. El martes, en el tribunal, el abogado defensor supuestamente declaró que los acusados ​​sabían que estaban bajo investigación desde noviembre. Pero el 2 de febrero, justo una semana antes de su arresto, Morgan publicó sobre una venta entre empresas. Artículo en el que estaba trabajando para la revista Inc. Tal vez el conocimiento de la investigación impulsó a Morgan a apostar por un negocio que realmente podría generar dinero, porque el monitoreo hacía que mover sus BTC fuera extremadamente peligroso.

Cabe destacar que la presencia en línea de Morgan parece distorsionar la percepción del caso. Su rap y su interés en la ingeniería social la convierten en una sospechosa intrigante. Sin embargo, en una audiencia previa al juicio celebrada ayer, un juez de Nueva York fijó una fianza de 5 millones de dólares para Ilya Lichtenstein, pero de tan solo 3 millones para Morgan, lo que podría indicar que el tribunal cree que Lichtenstein tiene mayor responsabilidad y enfrenta consecuencias más severas que Morgan.

¿Cómo se conecta esto con Bitfinex?

El hackeo original de Bitfinex ocurrió a principios de agosto de 2016. Aquí está el informe de CoinDesk.informe contemporáneo sobre los EventosEl hackeo, y especialmente los esfuerzos de Bitfinex por recuperarse, han generado una serie de teorías de conspiración y especulaciones que a menudo involucran sospechas deposible malversaciónpor Bitfinex y sus asociados.

Tras el hackeo, Bitfinex tomó una decisión drástica: impuso pérdidas a sus usuarios en forma de un recorte de aproximadamente el 36 % en sus saldos. Quienes sufrieron el recorte recibieron a cambio tokens de derechos de recuperación con el símbolo BFX. Estos tokens fueron reembolsados y canjeados en su totalidad por4 de abril de 2017La versión oficial fue que Bitfinex aumentó el volumen de operaciones en ese momento y recuperó rápidamente el dinero que había perdido en el ataque.

Ver también:Un puente llamado Tether | Opinión

Pero el token BFX se denominó y pagó en USD, no en BTC. El precio de Bitcoin prácticamente se duplicó entre el hackeo y el reembolso, por lo que, en igualdad de condiciones, los usuarios de Bitfinex perdieron dinero incluso después de canjear sus tokens BFX.

Pero eso no es todo: como señalaron los comentaristas en ese momento, el token BFX ayudóreducir los pasivos de BitfinexAún más. Algunos tenedores, al no confiar en la capacidad de Bitfinex para pagar, lanzaron el token al mercado por tan solo49 centavos por dólar – y el intercambio reconoció haber recomprado tokens al valor de mercado, lo que significa que obtuvo un descuento aún mayor frente a la responsabilidad del BTC robado.

Eso, combinado con el hecho de que el ataque implicó comprometer la seguridad multifirma, ha generado considerables especulaciones de que el ataque pudo haber sido un "trabajo interno". Organismos de control como Bitfinex habríanespeculado Que el hackeo estuvo relacionado con el posterior Explora de déficits en Tether, la operación hermana de Bitfinex, y que la quita de activos y el token BFX podrían haber ayudado a disimular otros problemas en la plataforma. Aún no he visto ninguna prueba irrefutable de esto, pero el juicio de Morgan y Lichtenstein podría ofrecer nuevas revelaciones sobre esas extrañas maniobras.