La seguridad cripto ya va más allá de la billetera y llega hasta la dirección del cliente

Una familia francesa fue inmovilizada durante horas por atacantes que iban tras sus criptomonedas. La policía no ha dicho cómo eligieron la casa los atacantes, y ahí es donde reside el problema de datos de la industria.

Alrededor de las 4 de la madrugada del 20 de septiembre, cuatro hombres encapuchados irrumpieron en una vivienda familiar del norte de Francia. Ataron a los padres y a sus dos hijos con cinta negra y obligaron al padre a entregar sus códigos de acceso y a transferir 40.000 euros.

El padre trabaja por cuenta ajena en el sector de las criptomonedas, en el área de TI. La fiscalía aún no ha dicho cómo lo identificaron los atacantes.

Otro incidente ocurrido ese mismo mes mostró lo fácil que es que se filtre ese tipo de información. El 13 de agosto, el fabricante de monederos de hardware Trezor informó a 13.689 clientes de que una brecha en uno de sus proveedores de envíos había expuesto datos sensibles de sus pedidos. La cifra aumentó a más de 80.000.

Nada relaciona los dos casos, ni hace falta que lo haga. Juntos describen la misma exposición desde ambos extremos: una base de datos que vincula una dirección particular con pruebas de propiedad de criptoactivos, y lo que ocurre cuando alguien actúa basándose en esa conexión.

BeInCrypto habló con expertos de Hacken y Zama para averiguar qué obligaciones tiene un proveedor con sus clientes cuando un tercero filtra su identidad, qué datos debería dejar de conservar la industria y cómo podría saber un cliente si un custodio le fallará bajo coacción.

Lo que oculta la frase «No se comprometieron las claves»

Cuando Trezor anunció la brecha en agosto, hizo hincapié en lo que no había ocurrido. Según la empresa, sus propios sistemas no se habían visto comprometidos y sus dispositivos eran seguros.

Esas garantías abordaban el riesgo que las carteras de hardware existen para prevenir: el robo de fondos.

Sin embargo, Dmytro Yasmanovych, director de GRC y Operaciones de Seguridad de Hacken, explicó que la ausencia de una clave privada robada no significa que los clientes estén fuera de peligro.. 

«Alguien que sepa tu nombre, la dirección de tu casa y que tienes una cartera de hardware dispone de información que puede usar para atacarte. Puedes sustituir una clave comprometida en cuestión de minutos. No puedes hacer lo mismo con la dirección de tu casa».

Sostiene que por eso la información que tienen las empresas de reparto y otros proveedores merece tanta atención como la propia cartera. Si una base de datos vincula a una persona que posee criptomonedas con su domicilio, las consecuencias también pueden afectar a su familia, añadió Yasmanovych.

«Así, un proveedor puede impedir que cualquiera acceda a tus fondos y, aun así, dejarte expuesto de una forma mucho más personal. La pregunta es si sus medidas de seguridad protegen al cliente, y no solo a la cartera».

Las cifras de Francia que respaldan la advertencia

Francia muestra cómo se manifiesta esta situación. A finales de junio, el ministro del Interior, Laurent Nuñez, afirmó que las autoridades habían registrado más de 70 incidentes violentos relacionados con las criptomonedas desde enero. 

Chainalysis, que contabilizó los casos denunciados públicamente, registró 30 en Francia hasta mediados de 2026, frente a los 19 de todo 2025. 

La firma considera que una filtración de datos es la causa más probable. Señala un caso de 2024 en el que, presuntamente, un funcionario fiscal francés robó expedientes de personas adineradas que poseían criptomonedas —incluidas direcciones y números de teléfono— y los vendió a intermediarios criminales. 

La exposición de las familias que describe Yasmanovych se refleja en esos mismos datos. En Francia, más del 40 % de los incidentes tuvieron como objetivo a un familiar y no al titular. En general, los allanamientos domiciliarios representaron el 37 % de los ataques documentados a mediados de 2026, frente al 26 % en 2023.

Chainalysis estimó que los ataques violentos contra titulares de criptomonedas en todo el mundo se llevaron más de 30 millones de dólares durante el primer semestre del año. Esta cifra solo incluye los ataques en los que el titular entregó fondos.

El informe calcula la exposición total en 107 millones de dólares, incluidas las exigencias de rescate, las transferencias bloqueadas y los fondos recuperados, y señala que incluso esa cifra solo abarca los casos denunciados.

Los datos detrás del objetivo

Esos ataques necesitan un objetivo, y este puede aparecer en un registro que alguien guardó. Por eso, la conservación de datos también es un problema de seguridad para el sector de las criptomonedas. 

Es posible que las empresas necesiten información de sus clientes para una transacción o un servicio específicos. Sin embargo, conservarla indefinidamente puede generar un riesgo adicional si esa información queda expuesta más adelante. Entonces, ¿qué dato de los clientes debería dejar de recopilar el sector o eliminar antes de lo que lo hace actualmente?

Yasmanovych señala el número de teléfono. Explicó que una empresa podría necesitarlo para coordinar una entrega, pero eso no explica por qué debería permanecer durante años en una base de datos de clientes.

Así que, si se vulnera la base de datos, el número puede ser útil para llevar a cabo intentos de phishing, estafas telefónicas o ataques de intercambio de SIM.

«Eliminaría el vínculo entre un pedido y una dirección física de entrega una vez completada la entrega y cuando ya no hubiera motivos comerciales para conservarlo. La empresa puede guardar lo que necesite con fines fiscales y de garantía sin mantener un registro completo de dónde se entregó cada pedido».

Planteó otro problema: la eliminación de datos suele basarse en que alguien diga que ya se ha hecho.

«En un caso, una empresa tenía una política de conservación de noventa días y una confirmación por escrito de su socio de logística de que los registros más antiguos se habían eliminado. Sin embargo, en sus sistemas seguía habiendo datos de varios años. Por eso exigiría pruebas de que se han eliminado, no solo una política de conservación. Si nadie verifica que se haya cumplido la norma, esta ofrece poca protección».

La misma responsabilidad se extiende a lo que ocurre después de que queden expuestos datos de clientes. Según Yasmanovych, además de enviar un correo electrónico de advertencia, el proveedor debe explicar exactamente qué información quedó expuesta. 

«Que se filtre la ciudad es una cosa. Un nombre, una dirección particular y pruebas de que alguien posee criptomonedas suponen un nivel de riesgo distinto… Alguien cuya dirección se haya filtrado puede necesitar ayuda para organizar futuras entregas sin volver a compartirla… Debe haber una persona o un equipo de contacto directo cuando la situación requiera algo más que una sección de preguntas frecuentes estándar».

Mencionó que el proveedor también debe abordar qué permitió que se produjera la exposición. Si el proveedor conserva los datos más allá del período de retención acordado, se debe informar a los clientes de cómo se evitará y cómo se verificará su eliminación en el futuro.

«Un correo electrónico de advertencia es solo el punto de partida. La gente necesita saber qué ocurrió, qué puede hacer ahora y si la empresa realmente ha corregido el proceso que falló».

La respuesta de Trezor a su propia filtración puede evaluarse con arreglo a esa lista. Envió correos electrónicos individuales a los clientes afectados, especificando si la exposición había sido total o parcial, y les advirtió sobre el phishing y, en septiembre, sobre los riesgos para la seguridad física.

También prometió una opción de entrega anónima mediante la recogida en taquillas, embalajes sin marca y la eliminación automática de los identificadores de envío.

¿Puede la tecnología de privacidad cerrar la brecha?

El problema no se limita a los datos que las empresas almacenan fuera de la cadena. A medida que más actividades financieras se trasladan a cadenas de bloques públicas, las propias transacciones pueden crear otra capa de exposición.

El Dr. Rand Hindi, director ejecutivo y cofundador de Zama, afirmó que el incidente de Trezor pone de relieve un problema de retención de datos fuera de la cadena.

Sostuvo que, a medida que el capital institucional se traslada a la cadena a gran escala, la confidencialidad en la cadena deja de ser una característica y se convierte en una condición para participar. Hindi citó una estimación de BCG según la cual los activos digitales del mundo real podrían alcanzar aproximadamente el 16 % de los activos globales disponibles para inversión en 2035.

Dijo que las instituciones reguladas no pueden operar en un libro mayor público donde todas las posiciones y relaciones con las contrapartes sean visibles. El ejecutivo señaló el cifrado totalmente homomórfico (FHE) como una forma de abordar este problema sin sacrificar el cumplimiento normativo. 

«El FHE permite realizar operaciones directamente sobre datos cifrados: se ejecuta una transferencia, se comprueba un umbral de AML, se verifica la elegibilidad, todo sobre texto cifrado, sin que ningún validador ni explorador de bloques llegue a ver un saldo u otros datos confidenciales. Cuando un regulador exige acceso, un quórum autorizado de titulares de claves (el equipo de cumplimiento) autoriza el descifrado, que se hace cumplir en la capa del protocolo, no mediante una política».

La tecnología de privacidad también puede limitar la cantidad de información que las empresas deben divulgar sin hacer imposible la verificación.

Yasmanovych dijo que las pruebas de conocimiento cero pueden permitir que una plataforma de intercambio demuestre que posee suficientes activos para cubrir los saldos de sus clientes sin publicar el saldo de cada uno.

Por lo tanto, la plataforma de intercambio puede compartir pruebas de su posición general sin exponer la información de las cuentas individuales. El experto añadió que esto no significa que la información sea inaccesible. 

Según cómo esté diseñado el sistema, un investigador autorizado aún podría examinar las pruebas y los registros subyacentes mediante una auditoría adecuada o un proceso legal.

Añadió que la divulgación selectiva funciona según un principio similar al compartir información de identidad. Un servicio podría necesitar confirmar que alguien cumple un requisito específico sin recibir todo su documento de identidad ni su perfil de cliente.

«Ninguno de los dos enfoques resuelve el problema de los datos personales que se encuentran fuera de la cadena de bloques. Los importes y horarios de las transacciones, así como las conexiones entre monederos, pueden seguir siendo visibles, mientras que los documentos de identidad y los domicilios continúan almacenados en bases de datos de plataformas de intercambio, empresas de reparto y proveedores de pago».

Yasmanovych señaló que la brecha es bastante clara. Una empresa puede mejorar la privacidad de la propia transacción y, aun así, dejar expuesta en otros lugares la información necesaria para realizarla y ofrecer asistencia al respecto.

Cuando las credenciales son reales, pero el cliente no es libre

La diferencia entre la privacidad de las transacciones y la seguridad personal cobra aún más importancia cuando se obliga a un cliente a autorizar una transferencia. Un proveedor de custodia puede contar con una infraestructura segura y sólidos controles de acceso. 

Pero esas protecciones se enfrentan a una prueba distinta cuando se coacciona a un cliente para que entregue sus activos. 

Yasmanovych afirmó que una auditoría técnica puede demostrar que el sistema funciona según lo previsto. Sin embargo, resulta menos útil para comprender qué ocurre cuando se obliga a alguien a entregar sus activos.

«Pondría a prueba el proceso de retirada en una situación de ese tipo. Por ejemplo, un cliente con credenciales válidas solicita una transferencia cuantiosa mientras alguien lo está coaccionando. ¿Puede el proveedor detectar la situación, detener la retirada o involucrar a otra persona antes de que salga el dinero?»

Los controles que considera imprescindibles son la intervención de una segunda persona autorizada y un periodo de espera obligatorio para las transferencias cuantiosas; el cliente no puede desactivarlos durante la misma sesión. Yasmanovych destacó que el objetivo es dar al proveedor la oportunidad de intervenir cuando un inicio de sesión válido no significa necesariamente que el cliente esté actuando libremente.

«También pediría ver el proceso en funcionamiento. Una política puede exigir una segunda aprobación, pero eso no permite saber si la aprobación es realmente independiente ni si el personal puede eludirla. Una prueba en vivo dejaría al descubierto esas deficiencias mucho más rápido que otra auditoría técnica impecable.»

Un sistema de custodia puede funcionar exactamente como está diseñado y, aun así, fallarle a la persona que lo utiliza. El último paso siempre pasa por un ser humano, y un ser humano puede ser amenazado.

Fuente: BeInCrypto