CZ: Los usuarios deben proteger sus datos y reducir la reutilización de información entre plataformas
CZ: Los usuarios deben proteger sus datos y reducir la reutilización de información entre plataformas
Las filtraciones de datos se han convertido en un riesgo persistente para la industria de las criptomonedas. Incluso cuando los fondos de los clientes no quedan expuestos directamente, la filtración de información personal puede crear las condiciones necesarias para ataques de phishing, duplicación de tarjetas SIM, robo de identidad e ingeniería social dirigida.
El 28 de octubre, el fundador de Binance, Changpeng Zhao, conocido comúnmente como CZ, destacó varios incidentes de exposición de datos que afectaron a empresas tanto del sector de los activos digitales como de las finanzas tradicionales. Entre los casos reportados se encontraban un proveedor de servicios relacionado con Coinbase, el exchange surcoreano de criptomonedas Bithumb y dos firmas de valores coreanas: Mirae Asset y Daishin Securities. En el incidente relacionado con Coinbase, la información expuesta habría correspondido a datos de contacto de los usuarios, no al acceso a sus fondos.
Estos incidentes apuntan a una realidad importante para los usuarios de criptomonedas: quizá no puedas evitar que una empresa sufra una filtración, pero sí puedes reducir el daño que puede causar la información que compartes.
Por qué una filtración de datos puede convertirse en un problema de seguridad para las criptomonedas
Una dirección de correo electrónico o un número de teléfono filtrados pueden parecer inofensivos por separado. Sin embargo, los atacantes pueden combinar distintos datos para crear un perfil convincente de su objetivo.
Entre la información que suele quedar expuesta en las filtraciones de servicios financieros se encuentran:
- Nombre completo
- Dirección de correo electrónico
- Número de teléfono
- Domicilio o dirección postal
- Datos de documentos de identidad
- Actividad de trading o de la cuenta
- Interacciones con el servicio de atención al cliente
Esta información puede utilizarse para hacer que los mensajes fraudulentos parezcan legítimos. Un atacante podría hacerse pasar por un exchange, un proveedor de billeteras, un banco o un equipo de cumplimiento normativo y afirmar que el destinatario debe completar un proceso de verificación, desbloquear su cuenta o confirmar una transacción sospechosa.
A menudo, el objetivo no es entrar directamente en una plataforma. En su lugar, los atacantes intentan convencer a la víctima para que revele una contraseña, apruebe una transacción, instale software malicioso o divulgue su frase de recuperación.
La guía de la Comisión Federal de Comercio de Estados Unidos sobre las estafas de duplicación de tarjetas SIM explica cómo los delincuentes pueden tomar el control del número de teléfono de una víctima y utilizarlo para recibir códigos de autenticación. En el sector de las criptomonedas, esto puede ser especialmente peligroso cuando el número de teléfono se utiliza como método de recuperación o como factor principal para acceder a una cuenta.
Los riesgos de reutilizar la misma información en todas partes
Muchos usuarios se registran en varios exchanges, billeteras, mercados de NFT, servicios de pago y aplicaciones blockchain utilizando la misma dirección de correo electrónico y el mismo número de teléfono. Esto facilita la gestión de las cuentas, pero también crea un vínculo estrecho entre servicios que, en principio, están separados.
Si una base de datos se ve comprometida, los atacantes pueden utilizar la información filtrada para:
- Identificar otras plataformas en las que la víctima podría tener una cuenta.
- Vincular la identidad del mundo real de una persona con su actividad en criptomonedas.
- Enviar mensajes de phishing altamente personalizados.
- Intentar restablecer las contraseñas de servicios no relacionados.
- Buscar información adicional en fuentes públicas.
- Atacar a la víctima mediante técnicas de ingeniería social.
Cuantas más plataformas compartan los mismos identificadores, más fácil será construir un perfil completo. Esto resulta especialmente preocupante para los usuarios que mantienen activos digitales en varios exchanges o interactúan con aplicaciones descentralizadas utilizando una identidad reconocible.
Por tanto, minimizar los datos no es solo un principio de privacidad. También forma parte de una estrategia práctica de seguridad para las criptomonedas.
Utiliza alias de correo electrónico independientes para cada servicio
Una de las mejoras más sencillas consiste en utilizar un alias de correo electrónico único para cada exchange importante o plataforma financiera.
Por ejemplo, en lugar de utilizar una sola dirección para todo, un usuario podría crear alias independientes para:
- Un exchange centralizado
- Un servicio de entrada al ecosistema cripto mediante moneda fiat
- Una plataforma de trading
- Un servicio de análisis de cadenas de bloques
- Una cuenta de una billetera de software o hardware
- Un servicio web no financiero
Si uno de los alias empieza a recibir mensajes sospechosos, el usuario podrá identificar qué servicio podría haber expuesto o compartido esa dirección. Más importante aún, un alias único dificulta que los atacantes relacionen esa cuenta con las demás identidades digitales del usuario.
Un alias no debe considerarse un sustituto de una autenticación sólida. Funciona mejor junto con una contraseña única, un gestor de contraseñas y una autenticación multifactor resistente al phishing, cuando esté disponible. La guía sobre identidad digital del Instituto Nacional de Estándares y Tecnología de Estados Unidos ofrece recomendaciones más amplias sobre autenticación y seguridad de las cuentas.
Reduce la cantidad de información personal que compartes
Los usuarios también deberían analizar cuidadosamente qué información es realmente necesaria durante el registro y la verificación de una cuenta.
Algunas plataformas de criptomonedas deben recopilar información de identidad para cumplir con requisitos legales y regulatorios. En esos casos, es posible que los usuarios no puedan evitar presentar ciertos documentos. Sin embargo, todavía pueden reducir la exposición innecesaria de datos mediante estas medidas:
- Evitar completar campos opcionales del perfil
- Eliminar, cuando sea posible, números de teléfono que ya no se utilicen
- Limitar la divulgación pública de direcciones de billetera
- Evitar capturas de pantalla que revelen saldos o historiales de transacciones
- Separar los perfiles personales de redes sociales de las identidades vinculadas a las criptomonedas
- Revisar la configuración de privacidad de los exchanges y las aplicaciones financieras
- Eliminar las cuentas inactivas cuando el servicio lo permita
Los usuarios también deben actuar con cautela al compartir documentos de identidad con plataformas desconocidas. Antes de completar una verificación, comprueba la identidad legal de la empresa, sus prácticas de seguridad, su política de privacidad y sus canales de atención al cliente. Una solicitud de documentos sensibles recibida a través de un mensaje no solicitado debe considerarse sospechosa, aunque el mensaje incluya datos personales correctos.
Cómo protegerte del phishing después de una filtración
Una filtración de datos puede hacer que futuras estafas resulten más creíbles. Los usuarios deben asumir que un mensaje que incluya su nombre, número de teléfono o parte de su historial de transacciones podría seguir siendo fraudulento.
Antes de actuar:
- No hagas clic en enlaces incluidos en alertas inesperadas sobre tu cuenta.
- Accede al servicio desde un sitio web guardado en tus marcadores o desde la aplicación oficial.
- Nunca compartas una frase semilla, una clave privada ni un código de autenticación de un solo uso.
- Trata como de alto riesgo las solicitudes urgentes relacionadas con retiros o bloqueos de cuentas.
- Verifica las solicitudes de soporte a través de un canal independiente.
- Comprueba el nombre exacto del dominio antes de introducir tus credenciales.
- No instales software a petición de un supuesto «agente de soporte» desconocido.
Una plataforma legítima no necesitará tu frase de recuperación para restaurar el acceso ni investigar una transacción. Cualquiera que la solicite está intentando tomar el control de tu billetera.
La guía de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos sobre el phishing también recomienda detenerse y verificar de forma independiente las solicitudes inesperadas, en lugar de responder bajo presión.
La autocustodia no elimina los riesgos para la privacidad
La autocustodia puede reducir la dependencia de terceros para controlar las claves privadas, pero no resuelve automáticamente los problemas de identidad y privacidad.
Un usuario puede mantener sus activos en una billetera bajo su propia custodia y, aun así, exponer datos personales a través de cuentas de exchanges, aplicaciones blockchain, redes sociales o la publicación abierta de direcciones de billetera. Si una dirección de billetera está vinculada a un nombre, una dirección de correo electrónico o una cuenta de trading, puede resultar más fácil analizar la actividad en la cadena y asociarla con una identidad del mundo real.
Un enfoque más seguro combina varias capas:
- Mantén las claves privadas y las frases de recuperación fuera de línea.
- Utiliza una identidad de correo electrónico específica para los servicios financieros.
- Evita publicar innecesariamente las direcciones de tus billeteras.
- Revisa los detalles de cada transacción antes de firmarla.
- Separa los activos destinados a largo plazo de la actividad frecuente de trading.
- Mantén las copias de seguridad protegidas y nunca almacenes las frases de recuperación en documentos en la nube ni en aplicaciones de mensajería.
Para los usuarios que desean mantener el control de sus claves privadas, las billeteras de hardware de OneKey ofrecen un entorno de firma fuera de línea diseñado para ayudar a aislar las operaciones sensibles de la billetera de ordenadores y sitios web potencialmente comprometidos. Esto no impide que un exchange o un proveedor de servicios sufra una filtración de datos, pero puede reducir la posibilidad de que la información de contacto filtrada conduzca directamente a la aprobación no autorizada de una transacción.
Un modelo de seguridad más resistente para los usuarios de criptomonedas
Ninguna medida de seguridad por sí sola puede impedir todos los ataques. Pueden producirse filtraciones de datos en exchanges, proveedores de análisis, procesadores de pagos, empresas de telecomunicaciones e instituciones financieras ajenas al sector de las criptomonedas.
El objetivo más realista es limitar la cantidad de información expuesta, dificultar la vinculación entre cuentas y garantizar que una identidad filtrada no conduzca automáticamente al control de los activos digitales.
Utilizar alias de correo electrónico únicos, reducir el intercambio innecesario de datos, reforzar la autenticación y mantener las claves privadas separadas de los servicios en línea puede mejorar considerablemente la seguridad del usuario. Como sugiere la advertencia de CZ, proteger los datos personales se está convirtiendo en una parte esencial de la tenencia responsable de criptomonedas, no en una mejora de privacidad opcional.
