Datos, no Bitcoin: Lo que realmente pasó en el sistema de pago de Bitcoin en Suiza

El 14 de septiembre, Swiss Bitcoin Pay publicó una notificación breve y desactivó sus servidores. Lea el texto real, en lugar del titular:Un usuario malintencionado probablemente ha logrado acceso a los sistemas internos de Swiss Bitcoin Pay.— y “puede que hayan accedido al correo electrónico de los clientes”. No “los fondos fueron robados”. Ni un estado de cuenta. “Probablemente”, y “puede que”, además de una lista que termina con direcciones de correo electrónico.

Ese problema relacionado con las palabras… Esa “sala de datos” mal interpretada como un “cofre”… Eso es todo.

Swiss Bitcoin Pay es un procesador de pagos de Bitcoin no custodio, con sede en Neuchâtel. Fue fundado a finales de 2022 y está registrado como intermediario financiero según la ley suiza contra el lavado de dinero. Por lo tanto, está bajo la supervisión del regulador financiero suizo FINMA.Su actividad no es glamorosa: un comerciante escanea la factura de Lightning del cliente, el pago se realiza a través de este servicio y llega directamente al monedero del propio comerciante. La empresa nunca retiene los bitcoins del cliente en ningún momento de ese proceso. No es un monedero, ni un custodio, ni una banca. Es simplemente un canal de pago que conecta a dos propietarios de monederos.

Esa arquitectura es lo que determina qué datos puede y no puede llevarse por el intruso. Cuando la empresa desactivó sus servidores, dijeron que el intruso podría haber accedido a cinco categorías de datos.Direcciones de correo electrónico de clientes, direcciones de Bitcoin, números IBAN bancarios, historial de transacciones y contraseñas en forma de hash.Lo que se aseguraba que era seguro es el otro sector: los fondos y saldos, las claves privadas del monedero, el Bitcoin de los comerciantes, y las contraseñas en texto plano. Se dice que nunca almacenó nada de eso. La razón por la cual nada de eso se reveló es estructural.Ningún fondo de clientes ni claves privadas se vieron comprometidas, ya que los pagos se envían directamente a las carteras de los comerciantes.En lugar de quedarse bajo el control de la empresa.

Este es el “cambio de identidad” que la mayoría de los lectores pasan por alto. Una brecha en un sistema de custodia significa un caso de robo: el intruso ha obtenido activos. Una brecha en un procesador que no sea de custodia, por su parte, se trata de un problema relacionado con datos: el intruso ha obtenido identidades y metadatos. La misma palabra, “brecha”, pero diferentes consecuencias si algo sale mal. Convertir uno en el otro, o viceversa, es donde los titulares de los titulares de los titulares engañan a la gente.

Pero la afirmación de no ser custodio es precisa, y esa precisión oculta un detalle que vale la pena verificar. En la misma declaración, la empresa se comprometió a devolver el dinero.“Cada monto adeudado a los usuarios”, en su totalidad.Esa formulación implica que existe algún tipo de registro de las cantidades pendientes de pago. Los pagos pendientes se encuentran en un “bolsillo corporativo” controlado por Swiss Bitcoin Pay. La condición de “ningún dinero del cliente está en riesgo” cubre los bitcoins que todavía están en el proceso de transmisión en el día del cierre. La promesa de reembolso se refiere a la cantidad que los investigadores forenses analizarán. Esa es la razón por la cual la empresa no ha indicado cuándo volverá a ofrecer este servicio. No hay custodia sobre los pagos en tiempo real; no hay saldo ni responsabilidad alguna.

Ahora, aumente el ángulo de la lente, porque la divulgación de información por parte de una empresa es un patrón cuando ocurre dentro de tres semanas. A principios de este mes, Pocket Bitcoin – otra empresa suiza que no gestiona las criptomonedas – reveló un incidente de seguridad en agosto que mostró los registros relacionados con ese incidente.5,411 clientesIncluye nombres, montos de transferencias y fechas, y en algunos casos, también los IBANs. Dos intermediarios suizos dedicados al negocio de bitcoins; ambos actúan aproximadamente a un mes de distancia entre sí. Parece que ninguno de ellos ha perdido los fondos de sus clientes; ambos han perdido la información de identidad de sus clientes. La conclusión principal no es que las empresas suizas relacionadas con bitcoins estén siendo robadas. Lo importante es que la información que un servicio no custodiable posee sobre usted: su correo electrónico, su historial de pagos, el hecho de que realice transacciones en bitcoins… esa información ahora es el activo que busca un actor hostil.

En el caso de las transacciones minoristas, tenga en cuenta lo que ese incidente no logró hacer. Los precios de los bitcoins están cerca de los 79.000 dólares, aproximadamente un tercio por debajo de su valor máximo en 52 semanas. Además, un procesador de pagos privado que ha fallado no afecta en nada a esos precios. No hay un código de barras para identificarlos, ni precio al que reaccionar. La relevancia de la inversión radica en el modelo de riesgo que este incidente muestra. Ese modelo se aplica también a cualquier servicio de criptomonedas que ya utilice o esté considerando utilizar. Pregunte dos cosas a cada intermediario: quién posee los activos y quién posee mis datos. El incumplimiento de una empresa de custodia representa un riesgo para el primer punto. El incumplimiento de una empresa que no actúa como custodio representa un riesgo para el segundo punto… Y este último es suficiente para causar daños reales, incluso cuando no se pierde ni un franco. Los correos electrónicos filtrados, junto con los registros de transacciones, son como “kit de phishing” creado a partir de sus propios datos. Las empresas no pueden deshacerlo, como sí pueden restaurar un saldo.

La empresa no ha dicho cuántos clientes quedaron expuestos, cómo entró el intruso en la plataforma, ni si realmente se copiaron algos de datos o solo se vieron. Estas son preguntas importantes que requieren respuestas. La diferencia entre una situación controlada y una situación peor es precisamente eso. La condición para considerar esto como un robo es cuando los resultados de las pruebas forenses demuestren que realmente se tocó algún dato importante del sistema. En ese caso, se trata de un robo, y todas las conclusiones anteriores se anulan. Hasta que se demuestre lo contrario, debemos considerar al “intruso misterioso” como algo extraño y preocupante, pero no como algo real. La empresa no tenía ningún Bitcoin que pudiera robar, así que el intruso se llevó solo lo que podía llevarse: una copia de los datos de tu vida. Cambia tus contraseñas, vigila tu bandeja de correos y lee las próximas noticias sobre brechas de seguridad de la misma manera: no por la palabra “brecha”, sino por qué columna lograron llegar los atacantes.