La respuesta de Safe tras el hackeo de 1.4 mil millones de dólares en Ethereum a Bybit ha generado críticas en la comunidad cripto. Figuras clave del ecosistema, como CZ (ex CEO de Binance) y Mudit Gupta (CISO de Polygon), han cuestionado la falta de claridad en el comunicado de Safe, señalando fallos graves en la seguridad operativa y en la gestión de credenciales.
En su declaración oficial, Safe confirmó que sus contratos inteligentes no fueron afectados, pero reveló que el ataque fue posible gracias al ordenador de un desarrollador de Safe{Wallet}. Según su versión, esto permitió la propuesta de una transacción maliciosa disfrazada, que finalmente derivó en el robo masivo de fondos.
Safe Bybit
Safe aseguró que ha tomado medidas adicionales de seguridad, reconfigurado su infraestructura y restaurando Safe{Wallet} en la mainnet de Ethereum con un despliegue progresivo. Además, anunció que publicará un informe post-mortem con más detalles sobre la investigación.
El ex CEO de Binance, Changpeng Zhao (CZ), criticó en su cuenta de X el lenguaje utilizado por Safe, al que tildó de vago y sin explicar claramente el origen del ataque. CZ expresó sus dudas y planteó varias preguntas:
¿Cómo comprometieron el ordenador del desarrollador de Safe? ¿Fue un virus, ingeniería social o algún otro método? ¿Cómo un desarrollador tenía acceso a una cuenta de Bybit? ¿Se desplegó código directamente en producción desde su ordenador? ¿Cómo lograron burlar la verificación de Ledger en múltiples firmantes?
Las preguntas de CZ y Gupta
CZ también plantea si ¿fue firma ciega o los firmantes no verificaron correctamente? ¿1.400 millones de dólares fue la dirección más grande gestionada mediante Safe? ¿Por qué no apuntaron a otras? ¿Qué lecciones pueden aprender otros proveedores de billeteras multisig y de autocustodia? CZ fue de los primeros en alertar sobre las billeteras multisig tras el robo llevado a cabo por el Grupo Lazarus en Bybit.
Por su parte, Mudit Gupta, CISO de Polygon, también lanzó varias preguntas a Safe: ¿Por qué un solo desarrollador tenía acceso para modificar elementos en el sitio de producción de Safe? ¿No hay monitoreo sobre estos cambios? Vamos chicos, solo tienen un trabajo, dijo.
Pese a que Safe asegura que sus contratos inteligentes y código fuente no fueron vulnerados, la comunidad ha señalado que el verdadero problema fue una deficiencia en la seguridad operativa. El usuario bryguydefi criticó que empresas que manejan miles de millones de dólares sigan dependiendo de sitios web alojados por terceros para interactuar con blockchains descentralizadas, calificando la situación como inaceptable.
Falta de control
Pese a que Safe dice haber implementado nuevas medidas de seguridad para evitar futuros ataques, las dudas persisten. Las respuestas ofrecidas por Safe hasta ahora no han convencido a la comunidad, y las críticas de figuras clave como CZ y Gupta reflejan la preocupación por la falta de transparencia y controles en plataformas que manejan miles de millones de dólares.
Lo único cierto a esta hora es que el hackeo de Bybit, atribuido al grupo norcoreano Lazarus, es uno de los mayores robos de la historia cripto. La comunidad espera el informe final de Safe para esclarecer cómo ocurrió exactamente el ataque y qué cambios estructurales implementará para evitar vulnerabilidades similares en el futuro.