La seguridad cripto requiere más que auditorías para evitar pérdidas

Las auditorías reducen los errores de código, pero las mayores pérdidas cripto suelen deberse ahora a claves, gobernanza y fallos operativos. Aquí se explica por qué hace falta un enfoque de seguridad más amplio.

Puntos clave

• El número de auditorías de código en cripto se ha triplicado desde 2022, pero las pérdidas por hackeos y exploits siguen siendo elevadas.
• Según Oak Security, las auditorías tradicionales se centran sobre todo en el código, mientras que los atacantes aprovechan cada vez más las claves privadas, la gobernanza y las debilidades operativas.
• El sector necesita, además de auditorías, un enfoque de seguridad más amplio, con una sólida gestión de claves, supervisión en tiempo real y formación del personal.

El mercado cripto lleva años enfrentándose a graves problemas de seguridad. Aunque el número de auditorías de código se ha triplicado desde 2022, las pérdidas por hackeos y exploits siguen siendo elevadas. Una investigación de Oak Security señala que las auditorías tradicionales abordan sobre todo las vulnerabilidades del código, mientras que los atacantes aprovechan cada vez más las debilidades humanas y operativas. Como resultado, el número de incidentes y la magnitud de las pérdidas siguen siendo considerablemente altos.

Límites de las auditorías tradicionales de código

La calidad de las auditorías de código ha mejorado notablemente en los últimos años. Las empresas de seguridad utilizan herramientas avanzadas para detectar a tiempo errores en los smart contracts, lo que ha reducido los ataques basados en fallos de código. Sin embargo, las mayores pérdidas actuales se deben a claves privadas comprometidas, manipulación de la gobernanza, amenazas internas, actualizaciones maliciosas de dependencias y errores operativos. Estas vulnerabilidades quedan fuera del alcance de las auditorías tradicionales, que se centran principalmente en el propio código.

Está claro que incluso el mejor código sirve de poco si la infraestructura operativa subyacente es vulnerable. Un ejemplo de ello es el aumento de los ataques dirigidos a factores humanos, como el phishing, que las auditorías no pueden prevenir. Esto genera grandes pérdidas financieras que, hasta ahora, la industria no ha logrado limitar de forma suficiente. En la práctica, por tanto, cada vez se impone más una seguridad más amplia, como en el enfoque estadounidense contra el robo de criptoactivos, donde la prevención y la detección confluyen.

La ilusión de seguridad que generan las auditorías

Muchos proyectos cripto promocionan su seguridad destacando el número y la reputación de las auditorías realizadas. Sin embargo, esto crea una falsa sensación de seguridad. Una auditoría es una instantánea de una base de código concreta dentro de un alcance determinado y no ofrece garantía de seguridad futura, especialmente cuando se modifican los protocolos, cambia la gobernanza o se revisan los procesos operativos.

Esta idea errónea puede llevar a subestimar los riesgos ajenos al código, cuando precisamente ahí se esconden las amenazas más graves. Como consecuencia, usuarios y equipos pueden pensar que la seguridad ya está resuelta, mientras que los verdaderos puntos débiles se encuentran en otra parte.

Hacia un enfoque de seguridad más amplio

El sector difícilmente puede esperar una adopción masiva mientras la confianza siga bajo presión por incidentes de seguridad repetidos. Además de las auditorías, hace falta una estrategia de seguridad más profunda que aborde los riesgos humanos y operativos. Esto incluye, entre otras cosas, sistemas de gestión de claves más sólidos, descentralización de los firmantes, limitaciones en la gobernanza, supervisión en tiempo real y circuit breakers.

Las plataformas cripto son organizaciones vivas con debilidades humanas, no solo productos de software. Los atacantes han adaptado sus tácticas y buscan activamente vulnerabilidades en los sistemas humanos. El siguiente paso en la seguridad cripto exige, por tanto, un enfoque integral que vaya más allá del código y se centre en todo el ecosistema de personas, procesos y tecnología.

Relevancia para los usuarios europeos de criptoactivos

Para los usuarios y proyectos europeos, es importante comprender que la seguridad no termina con una auditoría positiva. Los riesgos operativos y los factores humanos también pueden tener aquí un gran impacto, especialmente dada la complejidad de la regulación y la gobernanza en Europa. Esto subraya la necesidad de que las empresas cripto europeas, además de las auditorías técnicas, inviertan en una seguridad operativa robusta y en la formación del personal para reforzar así la confianza de los usuarios.