Tarjetas cripto: la vulnerabilidad de los sistemas tradicionales

El pasado 3 de noviembre se produjo un acceso no autorizado al sistema antiguo de tarjetas de débito de un proveedor de servicios de pago con activos digitales. Este incidente supuso la exposición de información financiera y personal sensible, incluyendo detalles de las tarjetas, datos personales de los usuarios e información relacionada con las carteras de criptomonedas. A pesar de la gravedad de la filtración, los fondos de los clientes no se vieron afectados y permanecieron seguros en todo momento. Este suceso pone de manifiesto la compleja relación entre la tecnología de cadena de bloques y los sistemas financieros tradicionales, conocidos habitualmente como sistemas heredados o antiguos.

El reto de unir la cadena de bloques con la red bancaria tradicional

Para entender cómo se produce una brecha de este tipo, es necesario analizar el auge de las tarjetas de débito de criptomonedas. Estos instrumentos nacieron para resolver uno de los mayores retos del ecosistema de los activos digitales: la usabilidad en el día a día. Mientras que las transacciones en una red descentralizada requieren confirmar bloques y pagar tarifas de red de forma directa, los comercios físicos y digitales tradicionales exigen una respuesta inmediata en el punto de venta. Para salvar esta distancia, diversas plataformas desarrollaron soluciones híbridas que conectan las carteras digitales con las redes de pago tradicionales mediante la emisión de tarjetas de débito.

Sin embargo, esta pasarela obliga a combinar dos arquitecturas de seguridad completamente distintas: la criptografía descentralizada y las bases de datos centralizadas de la banca convencional. Las empresas de servicios criptográficos que ofrecen tarjetas de pago deben construir una infraestructura que hable ambos lenguajes. Por un lado, deben interactuar con contratos inteligentes y firmas criptográficas en redes descentralizadas. Por otro lado, deben conectarse con los sistemas heredados de procesamiento de tarjetas de crédito y débito, un entramado tecnológico que depende de bases de datos centralizadas propensas a fallos de seguridad.

Cuando estas empresas actualizan sus sistemas para adoptar medidas de seguridad más modernas, a menudo conservan bases de datos antiguas o heredadas para mantener registros históricos de transacciones o para dar servicio a cuentas que aún no han sido migradas. Son precisamente estos sistemas antiguos los que suelen convertirse en el objetivo de los atacantes, ya que no siempre cuentan con los mismos niveles de protección y supervisión que las plataformas de última generación.

El mecanismo híbrido de las tarjetas cripto

El funcionamiento de estas herramientas de pago se asienta sobre un mecanismo dividido que separa de forma estricta la custodia de los activos de la gestión de los datos de identidad.

Por un lado, se encuentra la cartera de criptomonedas, que opera mediante un sistema de claves públicas y privadas. La clave privada es la que otorga el control absoluto sobre los activos en la cadena de bloques y es custodiada directamente por el usuario. Por otro lado, se sitúa la infraestructura de la tarjeta de débito tradicional, gestionada por intermediarios financieros y procesadores de pagos.

Cuando un usuario realiza una compra en un comercio, el proceso sigue un flujo que conecta ambos mundos:

• El terminal de punto de venta lee los datos de la tarjeta física o virtual y envía una solicitud de autorización a través de la red de pago convencional.
• Esta solicitud llega al procesador de pagos de la plataforma cripto, que debe comprobar si el usuario dispone de saldo suficiente en su cuenta o cartera digital para cubrir el importe de la compra.
• Una vez verificado el saldo, se realiza la conversión de los activos digitales a la divisa tradicional correspondiente de forma automática, permitiendo que el comercio reciba el pago en dinero convencional mientras que el saldo del usuario se reduce en su equivalente criptográfico.

Para cumplir con las normativas de prevención del blanqueo de capitales, estas plataformas de pago híbrido están obligadas a registrar y almacenar datos personales de sus usuarios. Esto incluye el nombre completo del titular, su dirección postal, su documento de identidad, los números de las tarjetas de débito emitidas y las direcciones de las carteras de criptomonedas asociadas a cada cuenta para poder vincular los saldos.

La debilidad inherente a este modelo híbrido reside en que, mientras que la cadena de bloques protege las transacciones mediante criptografía asimétrica donde nadie puede mover fondos sin la clave privada, la base de datos de clientes e información financiera tradicional se almacena en servidores convencionales. Un fallo de configuración o una vulnerabilidad en estos servidores heredados permite a los atacantes acceder y descargar copias de toda la información de registro y detalles de las tarjetas sin interactuar en ningún momento con la cadena de bloques. Por esta razón, los activos digitales de los clientes no corren peligro directo durante una filtración en estos sistemas heredados: el atacante obtiene los datos de registro, pero no tiene forma de acceder a las claves privadas que custodian los fondos en la cadena de bloques.

Datos clave de la filtración

• Fecha del acceso no autorizado: El incidente se detectó el 3 de noviembre.
• Origen del ataque: La brecha afectó de forma exclusiva al sistema antiguo o heredado de tarjetas de débito de la plataforma.
• Información comprometida: Exposición de detalles de las tarjetas de débito, datos personales de los clientes e información relacionada con las carteras de criptomonedas.
• Seguridad de los activos: Los fondos de los usuarios no se vieron afectados por el acceso no autorizado y permanecieron totalmente a salvo.

La pérdida de privacidad y el riesgo de phishing

Para un inversor particular que gestiona su propio capital, este tipo de incidentes ilustra una diferencia fundamental entre el riesgo de pérdida patrimonial directa y el riesgo de pérdida de privacidad. Aunque los fondos estén seguros gracias a la solidez de la tecnología de cadena de bloques, la filtración de datos de carácter personal y de información de las carteras tiene implicaciones de seguridad muy importantes a medio plazo.

En el entorno de las criptomonedas, la privacidad es una de las principales defensas contra los ataques dirigidos. La cadena de bloques es pública por naturaleza, lo que significa que cualquiera puede ver los saldos y los movimientos de una dirección determinada. Sin embargo, estas direcciones suelen ser seudónimas: es decir, muestran una serie de caracteres alfanuméricos que no están vinculados públicamente a una identidad física real.

Cuando se produce una brecha de datos que expone de forma conjunta la identidad personal de un usuario, los detalles de su tarjeta y la información de su cartera cripto, los atacantes consiguen asociar esa dirección pública a una persona física. A partir de ese momento, los piratas informáticos saben con total precisión quién es el propietario de esa cartera, qué transacciones realiza y qué cantidad de activos posee.

Esta información es sumamente valiosa para llevar a cabo campañas de ingeniería social. El vector de ataque principal tras una filtración de datos no es la fuerza bruta contra la cadena de bloques, sino el engaño al usuario. Al disponer de los datos personales y de los detalles de la tarjeta de débito, los atacantes pueden enviar correos electrónicos o mensajes de texto simulando ser el equipo de soporte técnico de la plataforma afectada. Utilizando el pretexto de que se ha producido un problema de seguridad en el sistema antiguo el 3 de noviembre, los atacantes pueden guiar al usuario para que acceda a un sitio web falso donde se le solicite introducir sus claves privadas o su frase de recuperación para supuestamente proteger su cuenta. Si el usuario introduce sus credenciales, los atacantes obtienen el control total de la cartera y proceden al vaciado inmediato de los fondos en la cadena de bloques.

Escenarios y evolución de la seguridad en pagos híbridos

La respuesta del sector y de los usuarios ante este tipo de filtraciones en sistemas antiguos definirá la confianza en estas herramientas de pago. Se plantean principalmente dos escenarios de evolución:

• Primer escenario: Las plataformas de pago que combinan criptomonedas y finanzas tradicionales aceleran la transición tecnológica para eliminar por completo la dependencia de servidores heredados. Mediante la adopción de sistemas descentralizados de verificación de identidad y la tokenización avanzada de los datos de las tarjetas de débito, se minimiza la cantidad de datos sensibles que se almacenan de forma permanente en servidores centralizados. Esto reduce el impacto de futuros accesos no autorizados, limitando la exposición a datos de carácter temporal y sin valor residual para los atacantes.
• Segundo escenario: La persistencia de las brechas en sistemas de tarjetas de débito antiguos debilita la confianza de los inversores particulares en las soluciones híbridas de gasto diario. Ante el riesgo recurrente de ver expuesta su identidad física vinculada a sus activos digitales, los usuarios optan por separar estrictamente sus carteras de inversión a largo plazo de cualquier herramienta de pago directo, limitando el uso de tarjetas de débito criptográficas a cuentas secundarias con saldos muy reducidos y asumiendo que los datos de dichas cuentas pueden ser comprometidos en cualquier momento.

Lo que falta por saber

Tras la confirmación del acceso no autorizado el 3 de noviembre, queda por ver el alcance total de la filtración en términos de volumen de usuarios expuestos y la rapidez con la que se procederá a la cancelación y sustitución de las tarjetas de débito afectadas. Asimismo, será determinante observar si las autoridades de protección de datos imponen sanciones administrativas a las plataformas que mantienen activos sistemas antiguos con medidas de seguridad insuficientes para la protección de la información de sus clientes.