Guia para sobrevivir en cripto ‐ Pablo Sabbatella - ETHCon Argentina 2025

Transcript

Muchas gracias. ¿Cómo andan? ¿Todo bien? Bueno, yo soy Pablo Zabatela, Pablito. Y hoy les vengo a contar un poquito acerca de los algunos de los riesgos más grandes que hay en Web 3. Estamos en el ecosistema más peligroso, la industria más peligrosa de todo el planeta. Primero les doy un breve resumen de lo que hago yo. Yo me dedico a hacer Operation Security Research. fundé la compañía OBSEC, donde hacemos auditoría de seguridad y soy miembro también de Security Alliance, pero bueno, no los quiero aburrir hablando acerca de de mí.

Che, ya me robaron 3 minutos. Eh, eh, ¿qué es lo que está pasando bien en el ecosistema? El 99% de los fondos robados ya no se roban hackeando smart contracts, ¿sí? Sino que esto de esto se hackea, se roba hackeando personas. Sí. Entonces, si nosotros miramos de ese 99%, nueve de cada 10 casos empiezan con algo que se llama ingeniería social. ¿Qué es la ingeniería social? Convencer a alguien de hacer algo que está en contra de su interés y en el interés del estafador, del atacante. Sí, como dice Brush Neyer, los amateurs hackean sistemas, los profesionales hackean personas. Como decía Kevin Mnick, la

ingeniería social puede pasar por arriba cualquier tipo de tecnología. No importa qué tecnología tienen implementada en su empresa o organización, si alguien puede engañar a alguien de su equipo o si les pueden meter a alguien que es un atacante dentro de su equipo, no tienen chance. Entonces hoy les quiero contar cuatro o cinco historias, ¿sí?, de cosas que pasaron y ver qué podemos aprender de cada una de ellas. Sí. El primer caso se llama real fake be. Imagínense, hay está Pedro Peter, que maneja un fondo de inversión en Discord y se le acerca una persona, un inversor anónimo, diciéndole que quiere hacer una operación OTC de 3 millones de dólares, ¿no? Y este inversor anónimo le dice que quiere usar a John, que es amigo de

Peter, de escrow. Sí, un escrow en la que los dos confían. Entonces, el Peter se supone que le va a mandar los tokens a John, el inversor le va a mandar los USDT, los 3 millones de USDT a John y cuando John tenga ambos se lo va a mandar a las otras personas y alguien un garante en el medio. Y Peter que dice, "Sí, yo lo conozco a John, está todo bien, así que sí, hagámoslo." De hecho, si yo quisiera lo podría estafar al que me está viniendo por poner el negocio, ¿no? Y ahí, ¿qué pasa? El el inversor le dice, "Bueno, por cuestiones de seguridad cambiemos de canal. Vamos a Telegram. Pásenme sus Telegram." Sí. Entonces, les pasa los Telegram y acá sucede la magia. El inversor anónimo crea dos canales de Telegram. En un canal de Telegram lo

agrega John, lo impersona a Peter y se agrega el mismo. Y en el otro canal de Telegram lo agrega Peter, lo impersona John y se suma a él. Por lo cual hay dos canales en los cuales en cada uno está una de las personas que va a ser afectada. más la otra siendo impersonada más el inversor. ¿Y qué sucede acá? Es muy simple. Empiezan a hablar y cuando el inversor cuando el inversor, el estafador ve que John escribe algo, va al otro chat y desde la cuenta de John in personada escribe lo mismo y al revés con Peter. Entonces, ¿qué pasa? Cada uno ve que la otra persona está escribiendo exactamente como escriben siempre. Sí, de la forma normal. Sí, sí, me parece todo normal. siguen hablando hasta un momento en el cual eh le dice, "Bueno, la dirección en la que me tienen que

transferir los activos es esta." Y ¿qué pasa? El John impersonado en el otro canal envía otra dirección, transfieren los fondos, se perdió absolutamente todo, los 3 millones de USDT. Sí. Ahora, ¿qué pasa? Por suerte, Peter y John tenían una política que era que cuando estaban haciendo alguien algo con alguien nuevo, aunque no sospecharan de nada o era una operación de más de 50,000, tenían un canal separado, un canal de WhatsApp en el cual verificaban la dirección, decían, "Chaca, te tengo que mandar los fondos, ¿no?" Y gracias a esto fue que no perdieron esos 3 millones. Ocho de cada 10 casos que vemos de esto son todos exitosos. Sí, esto es muy muy fácil caer.

Entonces, ¿qué tenemos que aprender de acá? De estos nueve de cada 10 casos que empiezan con ingeniería social, absolutamente todos, todos incluyen no verificar con quién estamos hablando. Entonces, número uno, siempre verificar con quién estoy hablando. Segundo, hacer deals o negocios con gente anónima en internet, en cripto, ya no va más. Y tercero, si alguna vez están haciendo algún tipo de operación o lo que sea y les dicen de cambiar de canal, están en Discord y van a Telegram, están en Twitter y me llevan a WhatsApp o están en Slack y me quieren llevar a Telegram, lo que sea, eso es un red flag.

Bueno, vamos a ver un caso más, uno de Fishing. Siempre nos preparan con las plataformas de fishing estas que les envían los mail capaz que alaburo vieron para detectar si el mail era de Gmail, de Slack y no sé qué, no sé cuánto. Sirve un poquito, pero la verdad es que esos casos de Vision son muy básicos y no se asemejan a la realidad. Vamos a ver un par de de ejemplos. Durante Consensus, que fue una conferencia cripto, había un evento de esta plataforma Eterfy. Vos te vas de alta para ir al evento, como todos ustedes se iron de alta en miles de side events y media hora antes del evento te llega desde la plataforma oficial, ¿sí?

Un mensaje de este evento diciendo que te mandan el NFT para poder acceder al evento. Vos clicas en ese link, mintias el NFT, te vaciaron la billetera. Sí. Segundo caso, te llega un mail de Tresor, desde el mail oficial de Tresor, firmado por Tresor, todo con ¿qué? Con un link de fishing. ¿Qué pasó? Le hackearon el newsletter a Tresor. Entonces, te está llegando desde el mail oficial. O miremos, por ejemplo, hackean el blog de la Fundación Ethereum y te llega un mail de la Fundación Ethereum del blog oficial con un fishing. Entonces, ¿qué es lo que tenemos que aprender de todo eso?

También lo mismo con el Twitter de Vitalic o te mandan cartas de Ledger. Los fishing más sofisticados y los nuevos y muchos ataques vienen de una fuente confiable. Te va a llegar un caso que vimos la semana pasada, quieren hackear al fundador de un protocolo muy sofisticado. En lugar de hackearlo a él, ¿qué hacen? Hackean al abogado. Ven que el abogado la semana siguiente le iba a mandar un agreement el miércoles. Esperan el miércoles y desde la casilla del abogado le mandan el agreement infectado. Entonces, vos, ¿qué pasa? Recibís un documento que estás esperando de la persona que estás esperando el día que lo estás esperando. No hay otra, no hay ninguna razón para no abrirlo.

Infectado, todas las crisis se fueron. Entonces, tenemos que entender que siempre, siempre hay que verificar con quién estamos hablando y siempre que veamos algo que es un cachito raro, frenemos lo que estamos haciendo. Un caso más, otro de fishing o el por qué tenemos que dejar de usar UVIS. Te llega un mail de un mail de Twitter diciendo que alguien entró en tu cuenta, bla, bla, bla. Vos no te fijas que viene un dominio que no es de Twitter, no lo ves porque capaz que estás en mobile. Entras rápido, te pide tu contraseña, la pones, te dice que es incorrecta, esto es muy normal en los sitios de fishing, la pones de vuelta y te pide el código de 2 FA. Sí. Todos, ¿qué usan para 2 FA?

Si usan 2 FA, Google Authenticator o algo de esto, ¿no? Entonces, vos, ¿qué pasa? Venís acá y ponés el código de Google Authenticator. Le das siguiente, te llevan esta pantalla y acá ya te capturaban la cuenta, ¿no? ¿Por qué? Porque los códigos de Google Authenticate, Torus y todas estas plataformas, cuando uno quiere ser segundo factor de autenticación de forma sofisticada y si alguno de ustedes piensan ser sofisticado en cripto, tienen los días contados, va a perder absolutamente todo, se los firmo hoy. No van más. ¿Por qué? Justamente por esto, porque son son susceptibles al fishing.

En cambio, si ustedes utilizan algo llamado UVS, que me habrán visto que yo hablo muchísimo de este tema, estas llavecitas físicas son la única forma de hacer segundo factor de autenticación seguro. ¿Por qué? Porque si yo las configuro de la forma correcta, cuando hay algo que hay que entender que es que todos vamos a caer en un fishing algún día, ¿no? Ustedes, muchos estarán pensando, "Nada, nada, yo soy sofisticado, eso le puede pasar a mi mamá, pero a mí no me va a pasar. Todos vamos a caer en un fishing eventualmente. Si yo entro en el sitio de fishing y pongo mi usuario y mi contraseña y después me pide el 2FA y conecto la UV, la UV va a verificar si el sitio de destino es el correcto y si no es el correcto no va a funcionar.

Entonces esto es la única forma correcta de hacer 2 FA si está en un ecosistema como este. Y así es como los usuarios de UB miramos a los simples mortales que usan Google Authenticator o SMS. Bueno, entonces, ¿qué tenemos que aprender de esto? Como estamos diciendo, el 2 FA es muy importante porque es lo único que los va a proteger del fishing, pero el único 2 FA que los va a proteger son estas llavecitas físicas. Son medio caras, salen entre 60 y $00 cada una, pero cada vez que algún cliente me dice, "No, pero Pablo, la seguridad es cara."

Le digo, "Si la seguridad te parece cara, probá con un incidente. Ahí vas a ver qué es caro." Bueno, vamos con uno más. Ingeniería social en Slack. Este es muy bueno. Un influencer recibe un mensaje por Twitter diciéndole que quieren hacer una collaboration. Siempre que reciban un mensaje por Twitter diciendo quieren hacer una colaboration o algo así, o es un scam o los quieren hacer laburar por cero plata. Eh, y le dice, "Bueno, estamos muy interesados en trabajar con vos." Le dice, "Soy del fondo de inversión paraf Capital." Y podemos ver que la cuenta de Twitter está verificada. Sí. El único incentivo para verificar cuentas de Twitter hoy en día es ser un scammer.

Todas las cuentas de los scammer en Twitter están verificadas. Verificar una cuenta en Twitter es más fácil que muy fácil. Entonces, ¿qué pasa? Esta persona dice, "Bueno, vamos a verificar si es eh si es real qui me contacta, ¿no?" Entonces se fija en los seguidores seguidores verificados y ve que tiene como 10 perfiles verificados que son todos perfiles de Parfay Capital también. Sí. Lo que no sabe es que todos estos también son todo fake. Todo fake. Sigue la conversación y básicamente lo invitan a un grupo de Telegram y desde el grupo de Telegram le dicen, "Bueno, sumate a nuestro Slack." Así te explicamos un poquito cómo trabajamos nosotros. Le mandan un link de Slack, entra el link de Slack y ve un error de servidor. ¿Sí?

Lo primero que tenemos que ver acá es que un una invitación de Slack común empieza con join.scom empezaba con app.sesc. Entonces esta persona le dice, "Che, ¿sabes que quiero entrar al sitio y me está dando este error?" Le dicen, "Ah, sí, le pasó la semana pasada una persona, fíjate en andar redit y vas a ver que hay un posteo en Reddit con muchos upbats todo lindo, con una tipografía que lo hace parecer creíble y demás, que te dice cómo solucionar este error." Entonces, paso número uno, paso número dos, paso número tres, paso número cuatro, te dice, "Fíjate si te falta, si tenés actualizado el driver Fly UI."

Fly UI, ni idea, pero la persona entra a este link, chequea si le falta alguna actualización, le dice que no está actualizado, lo manda GitHub, baja el driver de GitHub, ya nos imaginamos infectado, chao, dentro de la compañía, pierden todo. Entonces, ¿qué es lo interesante de este caso? que si yo hubiera sido los norcoreanos que hicieron esto, lo hubiera hecho mejor todavía. Porque acá cuando estamos viendo este error, ¿sí? Yo hubiera dicho, bueno, error 4FJK, vos vas solito, lo buscá en Google y vos solito encontrás el post de Reddit. Lo que tenemos que entender acá es que se arrancó estando en Twitter, de Twitter te llevan a Telegram, de Telegram te llevaron Slack. En Slack viste un error y fuiste

a Redit. De Redit y fuiste a un sitio de unos drivers y ahí terminaste en GitHub. Cuando vos estás en GitHub, lo ves muy lejano de donde arrancaste, no le ves relación con las personas con las que estás hablando. Sí, pero este tipo de cosas de vuelta s super exitosas. ¿Qué es lo que tenemos que entender de esto? A todos nosotros eventualmente nos van a infectar. Sí, todos vamos a caer en un sitio de fishing. Todos nos van a infectar. Por eso, número uno, en la computadora no hay que tener kiss, no hay que tener billeteras. Todos siguen con la mala costumbre de tener más de $2,000 en MetaMask. Vemos casos todos los días nosotros de gente con millones de dólares en billeteras en la computadora.

Eh, eso no lo pueden hacer más. Y otra cosa que también vemos que mucha gente cree que es de los 90 y muy nach eso ya no va más. Son los famosos antivirus. Sí está este mito de que no, en Mac no existen virus. Yo uso Mac, así que no me tengo que bajar nada. Está lleno de virus para Mac. Si nosotros no tuviéramos plata en en hot wallets en la computadora y usáramos antivirus, este tipo de cosas, la gran mayoría se solucionaría. Así fue, así podemos suponer, por ejemplo, que fue el hack de Bbit. Eh, se robaron 1.5 billones de dólares, 1500 millones de dólares. Arrancando con ¿qué? con una entrevista de trabajo

trucha que le hicieron un developer, le hicieron bajado un archivito, lo infectaron y quedaron dentro de la infraestructura de la compañía. Ahora, ¿qué es lo más importante esto? Esto es esto me parece lo más importante de mi charla porque es en lo que en lo que es apalanca Norcorea. Imagínense que ustedes están trabajando para una compañía, les ofrecen un trabajo que paga tres veces lo que están lo que están cobrando hoy en día, entran a la entrevista de la UR la primera, la segunda, la tercera, la cuarta y en la quinta, imagínense que son programadores, les hacen clonado un repositorio, bajo una librería, lo que sea, pero los infectan y les roban $5,000 de meta más, por ejemplo, ¿no?

dicen, "Uy, bueno, que bajón. ¿Qué hacen?" Formatean la computadora y le van a ir a decir a su jefe o al fondo de su compañía, "Che, mira, ayer me hackearon y me robaron 5000 y ¿cómo te pasó?" Y esta haciendo estaba en un proceso de entrevistas para irme a trabajar otra empresa. Lo van a hacer. Nadie lo hace. ¿Y cuál es el problema ahí? que uno cree que le robaron $,000, pero en realidad además de esos $,000 pusieron un piecito adentro de la infraestructura de la empresa en la que vos trabajass y puede terminar pasando como como le pasa a muchas compañías que después gracias a eso terminan hackeando la compañía. Entonces es muy importante tener una cultura de transparencia dentro de los startup, dentro de las empresas, de que es común, todo el mundo

tiene entrevista de trabajo, todo el mundo se cambia de trabajo. Si tienen una entrevista de laburo, ténganla en una computadora separada, pero si les llega a pasar esto, vayan y díganlo. El quedarse callados y no decirlo es un problema muy grande. Yo si tuviera alguien en mi equipo que lo hackean y viene y no me lo dice, no solo le voy a hacer un agujero gigante, sino que me voy a encargar de que esa persona nunca más vuelva a trabajar en la industria. Si es un problema muy muy grande y de vuelta creo lo tienen que hablar todos con los equipos. Esto es algo muy común. Pasa mucho más de lo que uno cree. En Argentina hay nueve o 10 casos de estos por día y no leemos de eso en Twitter, sí, pero existen. Así que a prestarle atención.

Bueno, último caso. Eh, hace 2 años, no sé si se acordarán, hackearon Laspas, un gestor de contraseñas y ¿qué pasó? Se robaron 30 millones de volts, ¿no? ¿Y qué hicieron los que se los robaron? Dijeron, "Che, tratar de desencriptar 30 millones de bóvedas de contraseñas es muy difícil. Vamos a agarrar bases de datos liquadas de cripto, la base de datos de Ledger, de Coin Market Cap, de Ceroto, t ta ta que se habían robado y estab en la dark web. filtraron y dijeron, "Bueno, estas 10,000 cuentas de Las Paz son de gente que tiene cripto." Las empezaron a desencriptar con fuerza bruta y básicamente se robaron hasta este momento 300 millones de dólares. ¿Por qué? Porque en cripto tenemos las

herramientas, pero las usamos como el objete. Compramos un Ledger y ¿qué hacemos? Lo configuramos todo lindo con un secure encle, una tecnología impresionante que no se puede creer. ¿Y qué hacen con la frase semilla? Password manager. Sí. Todo el mundo que había caído en esto guardaba la frase y semillas en un password manager para lo que no está diseñado. Un password manager está diseñado para qué? Para guardar contraseñas. Las cifras dónde se guardan en papel y en absolutamente nada más. Entonces, ¿qué les puedo decir con respecto a esto? Primero, si tienen una billetera que tiene más de 5 años y no están 100% seguros de que nunca la pusieron en un password manager, le

saqué la fotito, la mandé por mail, me la mandé por WhatsApp. no sé qué cosa, todo el mundo, alguna se mandó. Quéense una nueva y muevan todo con esto. Ya van 300 palos perdidos y no es que no, bueno, lo hizo gente que no entiende nada. Hay gente que tenía Bitcoin desde hace 10 años, había researcher de seguridad, muchísima, muchísima gente muy sofisticada perdió con esto. Bueno, por último hay, les voy a dejar un tip. Yo voy a subir un hilo a Twitter acerca de esto después para que lo para que lo tengan.

Pero vieron que nosotros tenemos las 24 palabritas, o sea, de vuelta. Me compro el leder, hago todo bien y al final tengo 24 palabritas y digo, ¿dónde meto esto? No. ¿Y qué problema tenemos? Si tengo una copia y la pierdo, tengo un problema de disponibilidad. Sí. Si tengo cinco copias, cuantas más copias tengo, más probable que alguien lo encuentre. Entonces, ¿qué hacemos? Hacemos algo que se llama Yamir manual. Esto se lo van a poder bajar después. Vamos a dividir nuestra SID en tres partes. La primer listita va a tener la palabra 1 a la 16, la segunda de la 9 a la 24 y la tercera de la 1 a la 8 y de la 17 a la 24. Cada una de estas las van a guardar en tres lugares distintos. Mi casa, la de mi mamá y el banco. Después, combinando cualquieras dos de estas tres, van a

poder reconstruir las cifres completas. Entonces, ¿esto qué significa? que ustedes pueden perder una y no pasa nada y que alguien puede encontrar una y no pasa nada. Y si le quieren agregar un nivel de sofisticación un poquito más arriba, que es divertido, estas bolsitas, ¿vas bolsitas de evidencia o en las que te manda las cosas Mercado Libre? Las meten ahí adentro y saben que nadie pudo ver lo que hay adentro. Si quieres ver lo que hay dentro, la tenés que romper y la firman. Bueno, esto último no lo voy a contar, pero quiero ir a las conclusiones de lo que vimos hoy, que son cuatro cosas que yo creo y que yo realmente creo en estas y que la gran mayoría acá no va a estar de acuerdo.

Primero, eventualmente todos, todos, y me incluyo, todos acá vamos a caer en un fishing. Sí, nos va a pasar. Entonces, nuestro modelo de seguridad tiene que incluir que voy a entrar en un sitio de fishing eventualmente, nos va a pasar. Segundo, eventualmente a todos vamos a caer en algo de ingeniería social. La ingeniería social viene cada vez más sofisticada. Nosotros nos pasó hace poco, alguien se hizo pasar por un cliente bastante sofisticado para tratar de hackearnos a nosotros. Sí, que nos dedicamos a esto. Bueno, nos va a pasar a todos. Nosotros nos dimos cuenta rápido, pero podría haber pasado, ¿eh?

Uy, ¿qué pasó? Me fui para atrás. Ahí va. Eventualmente todos vamos a bajar algún malware porque se baje una copia de Windows Trucha. Pues se bajar un jueguito, como vieron hace poco, porque había juegos infectados en la plataforma Steam o lo que sea. A todos algún día les van a infectar la computadora, acuérdense, a todos. Así que ya piensen qué es lo que tienen en la computadora, porque lo que tienen ahí se los van a chorear. Y yo creo que lo más importante de todo es pensar que todo, absolutamente todo, es un scam hasta que se demuestre lo contrario. Por defecto, me llama Visa por teléfono, por defecto es un scam. me contacta un potencial cliente, por defecto es un scam. Demostrame que no lo sos, pero por defecto todo tiene que ser un scam. Y acuérdense que los no les

vamos a decir hackers porque el hacker es un buen concepto para mí, pero los thetors o criminales están mucho más cerquita de lo que ustedes creen. Sí, laburan en organizaciones web 3, lauran en empresas de tecnología, vienen a conferencias, seguramente alguno está escuchando esta charla y son gente buena onda. Así que hay que tener mucho, mucho cuidado. Hay que cuidarse. Bueno, por último, si no están teniendo cada tanto algún falso positivo, ¿qué qué es un falso positivo? Y que me llama Visa por teléfono y yo creo que es un scam y le corto y llamo a Visa y era Visa posta.

Si eso es un falso positivo, si no están teniendo cada tanto un falso positivo, no son lo suficientemente paranoicos y eventualmente van a perder todo. Así que prestenle atención. Muchas gracias.