Robo de 89 millones en bitcoin: la lección de seguridad para su empresa

El 31 de julio, cientos de propietarios de monederos físicos de bitcoin de la marca ColdCard vieron desaparecer su dinero en apenas 40 minutos. El atacante no tocó los dispositivos, no los infectó con un virus y no se conectó a ellos: simplemente adivinó las claves. En total se sustrajeron 1.367 bitcoins -cerca de 89 millones de dólares- desde 4.585 direcciones distintas. Aunque su empresa no maneje criptomonedas, el caso deja una enseñanza directa para cualquier gerente o administrador en Colombia: la seguridad no depende de qué tan robusto parezca un dispositivo, sino de qué tan bien se generan, se guardan y se rotan las credenciales que dan acceso a la información.

El problema no fue el candado, fue la llave

Los monederos físicos se vendían con una promesa clara: las claves privadas nunca salen del dispositivo. Y era cierto. El problema es que esas claves, en algunos casos, se generaron a partir de datos predecibles o con una cantidad insuficiente de aleatoriedad. Cuando eso ocurre, un atacante no necesita entrar a ningún lado: puede calcular millones de combinaciones probables desde su propio computador hasta dar con las correctas.

Traduzcamos esto al lenguaje de una empresa. Usted puede tener el mejor servidor, un firewall costoso y un proveedor de nube reconocido, pero si la contraseña del administrador es el nombre de la empresa más el año, si el usuario "admin" sigue con la clave por defecto, o si las credenciales del ERP se comparten por WhatsApp entre cinco personas, el candado no importa. La llave ya está en la calle.

Es una diferencia importante: no hubo una vulnerabilidad que se pueda "parchar" con una actualización, ni un empleado que hizo clic donde no debía. Hubo un supuesto equivocado sobre cómo se generaban las credenciales. Y eso es exactamente el tipo de riesgo que las empresas rara vez auditan, porque asumen que "eso ya viene resuelto de fábrica".

Lo irreversible es lo que más duele

En el mundo del bitcoin no hay reversa: si se mueve el dinero, no hay banco al que reclamar. En una empresa colombiana el escenario es parecido cuando hablamos de información. Si alguien borra o cifra la base de datos de clientes, si se filtran las historias laborales de un fondo de empleados, si desaparecen los soportes de radicación de documentos que respaldan un proceso legal, el daño no se deshace con una llamada. Se traduce en sanciones por incumplimiento de la Ley 1581 de 2012 de protección de datos personales, en pérdida de contratos y en un golpe reputacional que cuesta años reconstruir.

Por eso el enfoque útil no es "comprar seguridad", sino diseñar procesos donde una sola credencial comprometida no baste para perderlo todo. Eso significa segmentar accesos por rol, registrar quién hizo qué y cuándo, tener copias de respaldo que se puedan restaurar de verdad -no solo copias que existen- y revisar periódicamente qué usuarios siguen activos aunque ya no trabajen en la compañía.

Preguntas incómodas que vale la pena hacerse hoy

Sin necesidad de conocimiento técnico, un gerente puede pedirle a su área de sistemas o a su proveedor respuestas concretas sobre estos puntos:

• ¿Cuántas personas tienen acceso de administrador a los sistemas críticos y por qué?
• ¿Existe segundo factor de autenticación en los accesos remotos y en el correo corporativo?
• ¿Cuándo se restauró por última vez una copia de seguridad para comprobar que funciona?
• ¿Se desactivan los usuarios el mismo día en que una persona se retira de la empresa?
• ¿Queda registro auditable de las operaciones sensibles: anulaciones, cambios de valores, borrado de documentos?
• ¿Hay contraseñas por defecto todavía activas en equipos, cámaras, impresoras o routers?

La mayoría de incidentes que atendemos en soporte no vienen de ataques sofisticados. Vienen de accesos mal administrados, equipos sin actualizar y respaldos que nadie verificó.

¿Qué significa esto para tu empresa?

• Control de accesos por perfiles: cada usuario ve y hace únicamente lo que su rol requiere, reduciendo el impacto de una credencial filtrada.
• Trazabilidad de operaciones: contar con registros de actividad permite detectar comportamientos anómalos y sustentar auditorías internas o externas.
• Respaldos con procedimiento de restauración: no basta con copiar; hay que probar que la información vuelve a estar operativa en un tiempo razonable.
• Software a la medida bajo sus reglas: desarrollar sobre las necesidades reales del negocio permite definir desde el diseño quién accede a qué información.
• Mantenimiento preventivo de equipos: revisar actualizaciones, contraseñas por defecto y estado del hardware evita fallas que después se pagan caro.
• Cumplimiento normativo más ordenado: tener procesos documentados facilita responder ante requerimientos sobre tratamiento de datos personales.

El caso ColdCard no es una historia sobre criptomonedas. Es un recordatorio de que la confianza ciega en un proveedor o en un dispositivo no es una estrategia de seguridad. Preguntar, verificar y documentar sí lo es.

¿Tu empresa quiere aprovechar estas tendencias tecnológicas? En Monarca Computer te ayudamos. Conoce nuestras soluciones o contáctanos hoy.