Descubrir que una billetera de criptomonedas ha sido hackeada desencadena un tipo específico de pánico, agravado por el hecho de que, a diferencia de una tarjeta de crédito robada, una transacción de blockchain confirmada no se puede revertir simplemente llamando a alguien. Lo que ocurra en los minutos y horas posteriores al descubrimiento realmente determina cuánto se puede contener todavía, y vale la pena tener en mente una secuencia clara y ordenada antes de necesitarla nunca.
Contención inmediata, en orden
Corte primero cualquier acceso adicional
Si el compromiso sigue activo, es decir, los fondos continúan moviéndose o el atacante todavía parece tener alguna forma de acceso, la primera prioridad es cortar ese acceso en lugar de evaluar el alcance completo de lo ocurrido. Desconecte de internet el dispositivo afectado, cierre cualquier sesión activa del navegador de la billetera, y desconecte la billetera de todas las aplicaciones descentralizadas a las que tenga acceso de aprobación.
Mueva los fondos restantes a una nueva billetera
Cualquier activo que quede en la billetera comprometida debe moverse de inmediato a una billetera completamente nueva, generada con una frase semilla recién creada en un dispositivo separado y de confianza. Nunca reutilice la frase o clave privada de la billetera comprometida de ninguna forma, incluso si solo se vio afectada parte de las tenencias de la billetera, ya que no hay forma fiable de confirmar que el resto de la frase tampoco quedó expuesto.
Revoque las aprobaciones permanentes
Una vez asegurados los fondos restantes, revise y revoque cualquier aprobación de token que la billetera comprometida haya otorgado, ya que algunos ataques dependen de una aprobación permanente que se puede ejercer de nuevo más tarde en lugar de una transferencia inmediata y única. Nuestra guía sobre revocación de aprobaciones de tokens explica este proceso en detalle.
Si más de una persona tenía acceso a la billetera
Cuando una billetera comprometida se compartía entre cofundadores, un equipo empresarial o familiares, la contención incluye un paso adicional más allá de asegurar el acceso técnico: notificar de inmediato a todas las demás personas con acceso legítimo, ya que pueden poseer una parte de una configuración multisig, una frase de respaldo o una aprobación en una cuenta vinculada que también necesita ser revocada o rotada. Un compromiso que comenzó en el dispositivo de una persona puede, de lo contrario, extenderse silenciosamente a todas las demás personas que sigan confiando en la misma infraestructura de billetera compartida. Las empresas que manejan un compromiso de este tipo también deberían conservar registros adecuados para una investigación empresarial formal, ya que el estándar probatorio para una pérdida corporativa suele ser más alto que para una individual.
Una billetera hackeada no se puede volver a hacer segura. Solo se puede abandonar en favor de una nueva. Seguir usando una billetera comprometida, incluso con cautela, deja cualquier activo restante expuesto al mismo acceso que el atacante ya obtuvo.
Una línea de tiempo realista de una respuesta bien manejada
- Del minuto cero al cinco: se nota el compromiso, ya sea mediante una alerta de transacción inesperada o un saldo de billetera que ya no coincide con lo esperado, y el dispositivo afectado se desconecta de internet de inmediato.
- Del minuto cinco al veinte: los fondos restantes se mueven a una nueva billetera generada en un dispositivo separado y de confianza, priorizando primero los activos más valiosos si el tiempo o los costos de gas hacen impráctico mover todo a la vez.
- Del minuto veinte a la hora: se revisa y revoca cada conexión a aplicaciones descentralizadas y aprobación de token vinculada a la billetera comprometida usando una herramienta de verificación de aprobaciones de buena reputación.
- De la hora uno a la tres: el incidente se documenta en detalle, incluyendo identificadores de transacción, direcciones de destino, marcas de tiempo y capturas de pantalla, mientras la secuencia de eventos aún está fresca y es fácil de recordar con precisión.
- De la hora tres a las veinticuatro: se presentan reportes ante cualquier exchange asociado con la dirección receptora y ante el organismo nacional de denuncia de ciberdelitos correspondiente, y se toma una decisión sobre si vale la pena perseguir una investigación de rastreo profesional dado el monto involucrado.
No todos los casos avanzarán por esta línea de tiempo exactamente a este ritmo, y un compromiso descubierto días después de que ocurrió obviamente no puede recrear retroactivamente la primera hora. El valor de pensar en términos de una línea de tiempo es que establece un orden de operaciones por defecto, de modo que una víctima en medio de un evento estresante y confuso no tenga que inventar un plan de respuesta desde cero en tiempo real.
Cómo cambia la situación con el paso del tiempo
En la primera hora después de un hackeo, la prioridad es casi por completo la contención, detener más pérdidas y asegurar lo que quede. Dentro del primer día, la prioridad se desplaza hacia la documentación y el reporte, ya que los exchanges y plataformas que todavía podrían congelar fondos generalmente actúan más rápido, si es que lo hacen, cuanto antes se les notifica. Para la primera semana, si los fondos robados aún no se han congelado en un exchange, el enfoque realista se desplaza de nuevo hacia el rastreo y la construcción de un registro documentado para las autoridades o una reclamación civil, ya que los fondos típicamente se han movido a través de suficientes billeteras intermedias para ese momento como para que cualquier oportunidad de congelamiento en el destino original probablemente ya haya pasado. Entender qué fase se aplica a un caso determinado ayuda a establecer expectativas realistas. Una víctima que reporta un robo un mes después de que ocurrió no está en la misma posición que una que lo reporta dentro de la hora, y los siguientes pasos apropiados difieren en consecuencia, aunque la pérdida subyacente y su impacto emocional sean los mismos.
Documentación, antes de que se desvanezca la memoria
- Cada identificador de transacción no autorizada y las direcciones de billetera en ambos extremos de cada transferencia.
- Marcas de tiempo exactas de cuándo ocurrió cada transacción y de cuándo se notó por primera vez el compromiso.
- Capturas de pantalla de las transacciones, cualquier mensaje de phishing o sitio falso involucrado, y cualquier notificación de actividad de cuenta relacionada.
- Un relato escrito de lo que ocurrió inmediatamente antes del compromiso, incluyendo cualquier sitio visitado, mensaje recibido o software instalado en los días previos.
Esta documentación importa más de lo que la mayoría de las víctimas se dan cuenta inicialmente. Es la base para un reporte a las autoridades, para cualquier solicitud a un exchange de señalar una dirección receptora, y para un esfuerzo de rastreo de blockchain que intente establecer dónde terminaron finalmente los fondos. Evidencia como esta se vuelve significativamente más difícil de reconstruir incluso pocos días después, una vez que la memoria de la secuencia exacta comienza a desvanecerse.
Reportar el incidente
Reporte el robo al exchange asociado con la dirección de billetera receptora, si se puede identificar uno, ya que los exchanges a veces pueden señalar o congelar fondos que aún no se han retirado o convertido. Por separado, presente un reporte ante la autoridad nacional de ciberdelitos correspondiente, como el Centro de Quejas por Delitos en Internet del FBI en Estados Unidos, aunque la recuperación solo mediante las autoridades sea incierta. Un reporte documentado también importa para cualquier propósito posterior de seguro, fiscal o legal vinculado a la pérdida.
- La fecha, hora y zona horaria exactas en que ocurrió la transacción no autorizada, junto con la red blockchain involucrada.
- El hash o identificador de transacción completo de cada transferencia no autorizada, no solo la primera si ocurrió más de una.
- La dirección de billetera que envió los fondos y cada dirección de destino a la que se movieron, si se conoce.
- Cualquier archivo, mensaje, correo electrónico o sitio web que se crea relacionado con cómo ocurrió el compromiso, adjunto o descrito con el mayor detalle posible.
Vale la pena establecer expectativas realistas sobre lo que logra un reporte a las autoridades a corto plazo. Agencias como el IC3 del FBI principalmente agregan reportes para identificar patrones y operaciones criminales mayores, y un caso individual, particularmente uno pequeño, puede no recibir un investigador dedicado de inmediato. Eso no hace que el reporte carezca de sentido. Los datos agregados de muchos reportes individuales a menudo son lo que eventualmente respalda una incautación o un enjuiciamiento mayor, y un reporte documentado sigue siendo necesario para cualquier futura reclamación de seguro, fiscal o civil vinculada a la pérdida, independientemente de si se asigna un investigador de inmediato.
Rastrear hacia dónde fueron los fondos
Debido a que la actividad de blockchain se registra de forma permanente, a menudo es posible rastrear exactamente hacia dónde se movieron los fondos robados después del robo inicial, incluso a través de múltiples saltos o entre distintas redes blockchain. Ese rastreo no garantiza que los fondos se recuperen, pero produce un relato documentado del flujo de fondos que puede respaldar una derivación a las autoridades o una solicitud de congelamiento a un exchange. Una explicación general de cómo funciona este proceso se trata en nuestra guía sobre cómo los investigadores de blockchain rastrean los fondos robados, y hay disponible un recorrido más específico para rastrear bitcoin en particular en nuestra guía sobre el rastreo de bitcoin robado.
Errores comunes que empeoran las cosas
- Publicar públicamente sobre el robo, incluyendo el identificador de transacción o la dirección de billetera, en redes sociales antes de reportarlo a un exchange o investigador, ya que esto puede alertar al atacante para que acelere el lavado de los fondos.
- Intentar contactar o negociar directamente con el atacante, ya sea mediante un mensaje en cadena o una dirección de correo electrónico dejada en un sitio de phishing, lo cual rara vez produce la devolución de fondos y a veces expone a la víctima a más ataques.
- Pagar una tarifa por adelantado a un extraño que contacta a la víctima ofreciendo garantizar la recuperación de fondos poco después de que el robo se vuelve visible en cadena, un patrón tratado en profundidad en nuestra guía sobre estafas de recuperación.
- Seguir usando las mismas contraseñas, frases de recuperación o dispositivos involucrados en el compromiso original para cualquier nueva billetera o cuenta, bajo el supuesto de que la vulnerabilidad específica ya se ha corregido.
- Esperar a reunir cada detalle a la perfección antes de presentar cualquier reporte, cuando un reporte inicial normalmente se puede modificar o complementar más tarde a medida que hay más información disponible.
Evitar la segunda estafa
Las víctimas de un hackeo de billetera con frecuencia son atacadas de nuevo poco después por alguien que afirma poder recuperar los fondos robados a cambio de una tarifa por adelantado, a veces contactando a la víctima directamente con detalles que hacen que la oferta parezca creíble. Ningún investigador legítimo puede garantizar un resultado de recuperación específico, ya que ninguna transacción de blockchain puede revertirse por nadie, incluidas las autoridades. Nuestra guía sobre estafas de recuperación trata los patrones específicos a vigilar. Las firmas que investigan este tipo de robo, incluida Coin Trace, trabajan sobre una base documentada y por caso, y son directas sobre el hecho de que la recuperación depende de hacia dónde se movieron los fondos y de si existe una vía viable, no de ninguna garantía hecha por adelantado.
Preguntas frecuentes
Ocasionalmente puede ayudar alertando a la comunidad en general sobre una dirección maliciosa, pero publicar antes de reportar a un exchange o investigador corre el riesgo de alertar al atacante para que mueva o lave los fondos más rápido. Reportar primero a través de canales oficiales es generalmente la secuencia más segura.
A veces, aunque nunca está garantizado. La recuperación generalmente depende de qué tan rápido se reportó el robo, si los fondos pasaron por un exchange regulado que puede congelarlos, y qué tan bien documentado esté el rastro de la transacción. Muchos casos no resultan en una recuperación completa.
No hay necesidad de eliminar el software de la billetera en sí, pero la frase semilla de la billetera y cualquier clave derivada de ella nunca deben volver a usarse para nuevos fondos. Trate toda la estructura de la billetera como retirada permanentemente.
Lo antes posible. La ventana durante la cual un exchange puede señalar o congelar fondos entrantes se cierra rápidamente una vez que esos fondos se retiran o convierten, por lo que reportar en cuestión de horas, en lugar de días, mejora significativamente las probabilidades de cualquier intervención.
Sí. Un reporte formal crea un registro oficial del robo, que puede importar para reclamaciones de seguro, reportes fiscales y cualquier acción civil o penal futura, y también contribuye a datos más amplios de las autoridades usados para identificar reincidentes y patrones mayores.
Fuentes y lecturas adicionales
- What To Know About Cryptocurrency and Scams · Federal Trade Commission
- New crypto payment scam alert · Federal Trade Commission
- Internet Crime Complaint Center · FBI Internet Crime Complaint Center (IC3)