Cómo perdió Bitfinex… y qué significa eso para los usuarios de DeFi
Cómo perdió Bitfinex… y qué significa eso para cada usuario de DeFi
La pérdida de Bitfinex se debió a un fallo en el sistema de custodia de la plataforma (un exchange centralizado), no a un defecto en los contratos inteligentes (smart contracts) utilizados en DeFi. Un intermediario perdió el control de los activos, lo que hace que la distinción entre el control de la plataforma y el control de los usuarios sea de vital importancia para todos los titulares de activos hoy en día.
Lo que se ha confirmado: hubo una violación de seguridad, y posteriormente se dio inicio a un procedimiento federal contra quienes podrían estar lavando dinero ilegalmente.
En su notificación sobre la brecha de seguridad, Bitfinex indicó que había detectado un acceso no autorizado y detuvo los retiros de tokens digitales mientras investigaba el incidente. Se estableció que el problema inicial fue un fallo interno de la plataforma, y no una decisión tomada por los protocolos utilizados en DeFi. La empresa describió los activos afectados como bitcoins y explicó los pasos seguidos para analizar la situación, aunque dicha información debe considerarse una declaración oficial de Bitfinex en ese momento, y no un informe forense independiente.
El Departamento de Justicia de EE. UU. posteriormente acusó a algunos individuos de haber lavado bitcoins robados de Bitfinex durante la brecha de 2016, y anunció arrestos sin llegar a una sentencia definitiva sobre todas las acusaciones. Este anuncio es importante, ya que indica los cargos presentados por el gobierno; la culpabilidad, la asignación de los activos y las medidas tomadas en relación con cada cliente dependerán de procedimientos legales posteriores.
```Según el anuncio del Departamento de Justicia de febrero de 2022, los investigadores incauturaron bitcoins cuyo valor en ese momento era de aproximadamente 3600 millones de dólares, y afirmaron que la criptomoneda sustraída de Bitfinex valía alrededor de 4500 millones de dólares en el momento del arresto de los acusados. Estas son valoraciones gubernamentales específicas de esa fecha, no los precios actuales del mercado; además, ninguna de estas cifras por sí sola indica cuánto recibió finalmente el titular de la cuenta.
El mismo comunicado del Departamento de Justicia describe el presunto robo como el de unos 119.754 bitcoins, una cantidad que explica por qué el caso se convirtió en un punto de referencia en materia de custodia, aun cuando no surgió de servicios de tipo DeFi (Decentralized Finance). Para los usuarios y los administradores de activos, lo relevante no es la valoración retrospectiva de los activos, sino que la arquitectura de seguridad y la respuesta operativa de un único servicio controlaban el acceso a una gran cantidad de activos de los clientes. Más información en el artículo “Traders Flock to Plus Wallet for Security After a Massive $20M Crypto Heist! Discover What This Means for Stripe’s $1B Strategy”.
¿Por qué una brecha en un exchange no debería ser reetiquetada como un fallo de un protocolo DeFi?
El propio anuncio de Bitfinex indica que el servicio interrumpió los retiros de usuarios; este tipo de control es algo que un operador centralizado puede imponer cuando posee los mecanismos operativos del exchange. Esto representa un riesgo diferente al de la autocustodia (cuando el usuario firma las transacciones directamente) o al de un protocolo DeFi (donde las restricciones operativas dependen de los contratos utilizados). La evidencia proporcionada no demuestra la existencia de un fallo en ningún protocolo DeFi en particular. Información adicional: “Bitfinex recupera más de 300.000 dólares tras un hack en 2016”.
La descripción hecha por el Departamento de Justicia (DOJ) de un presunto intento de blanqueo de activos robados de Bitfinex también distingue entre el incidente inicial y las acusaciones posteriores de movimiento y ocultación de dichos activos. Tratar toda actividad relacionada con la cadena de bloques como prueba de que las tecnologías DeFi (Decentralized Finance) causaron la pérdida de los activos llevaría a una conclusión no fundamentada, ya que se ignorarían cuestiones cruciales como: quién controlaba los activos en ese momento, cómo fueron retirados y qué herramientas utilizaron las autoridades para su localización o incautación.
Por lo tanto, el proceso de due diligence institucional debe comenzar con la información proporcionada en el aviso de violación de seguridad y en el comunicado del DOJ: identificar al custodio legal de los activos, determinar quién puede suspender las retiradas de fondos y averiguar qué fallos de seguridad podrían interrumpir el acceso a ellos. El hecho de que el gobierno haya anunciado la incautación de activos por un valor aproximado de 3600 millones de dólares demuestra que es posible recuperar parte de los fondos robados; sin embargo, el intervalo de varios años tras la brecha de 2016 indica que la recuperación no implica necesariamente una liquidez inmediata.
Esta distinción limita las posibles comparaciones entre diferentes casos: aunque se han publicado informes sobre el reembolso de los bitcoins robados de Bitfinex y sobre la recuperación de fondos, ninguno de ellos confirma de forma independiente las acusaciones federales. El registro oficial de estas acusaciones es el comunicado del Departamento de Justicia, mientras que el registro operativo correspondiente al momento del incidente es el propio aviso de Bitfinex.
La lección que se puede extraer de estos casos es de naturaleza práctica, no ideológica.
En el caso de activos que permanecen en la plataforma de negociación, el aviso de Bitfinex indica que el acceso a los depósitos y retiradas de fondos está controlado por la propia plataforma, incluso durante investigaciones.El titular que utiliza dicho entorno debe verificar por separado sus condiciones actuales de retirada, los controles de seguridad de la cuenta y las notificaciones de incidentes, en lugar de asumir que el saldo de la cuenta otorga la misma autoridad para realizar transacciones inmediatamente que las llaves almacenadas fuera de la plataforma.
En el caso de activos bajo custodia propia del titular, la evidencia respalda una conclusión más limitada: la eliminación de un intermediario de la plataforma cambia el modelo de custodia, pero no elimina todos los riesgos de seguridad o ejecución. Los materiales citados documentan una violación en el intercambio y un posterior supuesto esquema de lavado de dinero que involucraba criptomonedas robadas; no respaldan la afirmación de que la custodia propia garantiza la recuperación de los fondos, previene aprobaciones maliciosas o elimina la exposición del contraparte después de que los fondos sean depositados en otro lugar.
Para los participantes en el ámbito del DeFi (Decentralized Finance), la comparación práctica se basa en las autoridades que cada entidad tiene en cada etapa del proceso: un intercambio puede suspender sus servicios, un monedero puede autorizar transferencias y una interacción de protocolo puede crear permisos o dependencias con el contraparte. Dado que los registros oficiales indican que el saldo supuestamente robado asciende a aproximadamente 119.754 bitcoins, los comités de gobernanza deben considerar la concentración de la custodia como un riesgo para el balance financiero, incluso cuando la inversión se clasifique como DeFi.
Este enfoque es más útil que calificar todos los servicios basados en blockchain como descentralizados: un servicio puede utilizar activos digitales mientras mantiene el poder de detener las retiradas de los clientes, como lo indicó Bitfinex en su informe sobre la violación de seguridad. La cuestión fundamental para un departamento de tesorería, un creador de mercado o un administrador de fondos es quién puede mover, congelar o restringir el acceso a los activos colaterales en el momento en que se produzca un evento de seguridad.
Lo que aún queda condicional en los registros…
La evidencia proporcionada no contiene información sobre el precio actual de los activos, el estado del balance de Bitfinex en tiempo real, el plazo para las reclamaciones de los clientes ni el calendario de distribución final. Tampoco proporciona registros de transacciones relacionadas con el robo original, por lo que no es posible verificar datos como el hash de las transacciones, las direcciones de los remitentes y destinatarios, ni el valor actual de los activos a partir de los materiales disponibles.
Además, el comunicado de detención emitido por el Departamento de Justicia (DOJ) no convierte sus acusaciones en un veredicto definitivo; dicho comunicado se refiere a dos personas detenidas por una supuesta conspiración, lo cual es necesariamente diferente de un fallo judicial después de todos los procedimientos y apelaciones. Por lo tanto, quienes evalúen la cantidad de activos recuperados deben distinguir entre los activos incautados, los presuntos ingresos obtenidos, los informes del exchange y la distribución autorizada por el tribunal, ya que cada uno de estos elementos responde a una pregunta diferente.
El paquete de investigación también incluye un anuncio del Departamento de Justicia sobre un esquema fraudulento que utiliza criptomonedas, pero no se indica ninguna conexión con Bitfinex. Este anuncio no debe utilizarse para ampliar los hechos de este caso; precisamente por la falta de dicha conexión es importante analizar los informes de seguridad de fuentes fiables, sobre todo cuando los titulares de noticias legales se difunden más rápidamente que los registros oficiales.
¿Qué deberían supervisar los propietarios de los activos, los desarrolladores de soluciones relacionadas con las criptomonedas y los observadores de las políticas gubernamentales?
El próximo indicador concreto que puede marcar un avance en el caso es la publicación de un nuevo documento judicial o un comunicado del Departamento de Justicia que modifique el estatus de los activos identificados en el anuncio de febrero de 2022. Hasta que tal documento aparezca, el calendario de recuperación final no estará confirmado.
Los usuarios de Bitfinex deben confiar en las comunicaciones oficiales de la plataforma sobre incidentes y servicios, evitando enlaces que imiten dichas notificaciones durante períodos de mayor atención.
En los próximos seis meses, los actores institucionales observarán si alguna declaración oficial especifica los procedimientos de custodia, confiscación, restitución o distribución de los activos incautados, y no simplemente si se repite en los comentarios de mercado el valor anterior de esos activos en dólares. La cantidad de 3.600 millones de dólares anunciada por el gobierno para la incautación, junto con la suspensión documentada de retiradas por parte de Bitfinex, dejan clara una cuestión fundamental: la arquitectura de custodia, los canales legales de recuperación y el acceso operativo deben evaluarse por separado antes de que cualquier asignación de activos en el contexto de DeFi pueda considerarse a salvo de riesgos específicos. Estos registros oficiales constituyen la base de evidencia relevante para un análisis exhaustivo.
