La hora más oscura de WazirX: Un análisis detallado del hackeo de $230M y sus consecuencias

Los usuarios indios de criptomonedas están pasando por momentos difíciles mientras el exchange de criptomonedas centralizado (CEX) WazirX lucha por encontrar un plan de recuperación para sus clientes.

WazirX es uno de los principales exchanges de criptomonedas en India, con una base de usuarios de más de 16 millones. El 18 de julio, fue hackeado por $230 millones.

La brecha de seguridad afectó una de las carteras multi‑firma de WazirX. Una cartera multi‑firma necesita que varias personas firmen una transacción antes de que pueda ejecutarse. En el caso de WazirX, la cartera tenía cinco firmantes para asegurar los activos de los usuarios. 

El atacante drenó $100 millones en Shiba Inu (SHIB), $52 millones en Ether, $11 millones en MATIC y $6 millones en PEPE. Según el informe de junio de 2024, estos fondos representaban más del 45 % de las reservas totales del exchange de $500 millones.

Según el rastreador de blockchain Lookonchain, el explotador convirtió la mayor parte de los fondos robados a Ethereum (ETH). Los hackers generalmente usan servicios de mezcla como Tornado Cash para convertir tokens porque pueden oscurecer la actividad transaccional.

El explotador ahora posee más de 59,097 ETH, equivalentes a aproximadamente $200 millones, en varios tokens. Han estado vendiendo los tokens robados usando el popular DEX Uniswap.

Como resultado del ataque, los tokens listados en el exchange se negociaron con fuertes descuentos tanto a precios locales como globales debido a la falta de liquidez. El exchange luego detuvo todo el comercio y los retiros de cripto y fiat en la plataforma. Han pasado casi dos semanas desde que WazirX fue hackeado, y las actividades siguen en pausa.

Con todo congelado en el exchange, BTC/USDT se cotiza a 64,052 en WazirX comparado con 66,687 en CoinDCX. Mientras tanto, USDT/INR se cotiza a 88.64 en CoinDCX y a 68.40 en WazirX. El token nativo del exchange, WZX, ha caído un 36.24 % desde que el exchange fue atacado.

En cuanto a lo ocurrido, el exchange culpó a una “incongruencia” entre la información mostrada en la interfaz digital de Liminal Custody y el contenido real de la transacción firmada. El exchange dijo en una publicación:

“Sospechamos que la carga útil fue reemplazada para transferir el control de la cartera a un atacante.”

Mientras tanto, Liminal Custody culpó a WazirX del ataque, diciendo que su infraestructura no fue vulnerada.

“Desafortunadamente, se ha encontrado que tres de las máquinas de las víctimas estaban inyectando cargas útiles maliciosas en la transacción, lo que indica un ataque sofisticado, bien planificado y dirigido a una cartera multi‑firma de contrato inteligente Gnosis específica.”

– Liminal en X

Sin embargo, no todos están satisfechos con las explicaciones y el juego de culpas. Según Pankaj Tanwar, un popular YouTuber de cripto en X:

“Este error dañará #Crypto en India más allá de lo imaginable.”

WazirX criticado por su “Estrategia de pérdida socializada”

Dada la proporción de fondos robados respecto a las reservas totales, hay poca expectativa de recuperar alguno, lo que, combinado con el hecho de que el explotador ha sido vinculado a Corea del Norte, ha aplastado severamente cualquier esperanza de recuperación. 

Mientras el exchange ha lanzado una recompensa de $23 millones por una solución que recibió más de 130 propuestas, ha comenzado a explorar la distribución de los fondos intactos.

Para ello, WazirX está considerando devolver el 55 % de los criptoactivos mientras bloquea el resto en tokens equivalentes a USDT, sin importar si los tokens de los usuarios fueron robados o no. Esto significa que incluso los usuarios que no sufrieron pérdidas en el hackeo solo tendrían acceso al 55 % de sus activos, mientras que el resto se convertirá en stablecoins y será bloqueado.

El exchange ahora enfrenta un mayor escrutinio y presión no solo de sus clientes sino también de la industria en general debido a este “Programa de gestión de retiros: encuesta de opinión”.

La encuesta se realizó el 27 de julio, durante la cual el exchange introdujo una “estrategia de pérdida socializada para distribuir el impacto equitativamente entre todos los usuarios”. Esta estrategia permite a los usuarios acceso instantáneo a la mayor parte de sus activos mientras “mantiene la posibilidad de una recuperación adicional para quienes elijan esperar”.

En esta encuesta, se pidió a los clientes que votaran entre dos opciones diferentes. En una opción, los usuarios obtienen acceso a la mayor parte de sus fondos para operar, pero también pueden retirarlos. Sin embargo, tienen segunda prioridad respecto a cualquier fondo recuperado. En contraste, la otra opción no permite retiros, pero los usuarios obtienen primera prioridad para los ingresos de recuperación.

Esta propuesta resultó en que WazirX recibiera críticas de sus usuarios, con uno diciendo: “pérdida socializada, ganancias privatizadas”. Otro cuestionó por qué los usuarios con tokens no robados deberían ser penalizados.

Los exchanges de cripto rivales también expresaron sus opiniones sobre el último movimiento de WazirX, con el cofundador de CoinDCX, Sumit Gupta, diciendo que esta decisión “no es centrada en la comunidad”. La forma en que WazirX está manejando la situación “no les sentará bien”, dijo Gupta, añadiendo que también “daña a los demás participantes del ecosistema”.

Arjun Vijay, cofundador de Giottus, dijo que la encuesta de WazirX “no está en el mejor interés del ecosistema” porque está “diseñada para obligar a los clientes” a elegir la opción que les otorga prioridad en los ingresos de recuperación.

El cofundador de Unocoin, Dr. Sathvik Vishwanath, también compartió su decepción por la forma en que se está manejando el problema, diciendo que “solo empeora la situación” cuando el evento ya ha puesto a la industria cripto “en problemas”.

WazirX se defendió diciendo que la encuesta no era “legalmente vinculante” sino más bien un paso en el esfuerzo del exchange por entender lo que los clientes quieren. El exchange continuará recopilando ideas y comentarios de los usuarios.

Hablando sobre la razón de su plan para compartir las pérdidas, el vicepresidente de WazirX, Rajagopal Menon, compartió que estudiaron otros exchanges importantes que tuvieron que enfrentar situaciones similares. Los dos hackeos principales que se analizaron fueron Mt. Gox y Bitfinex.

Una vez contabilizada la mayoría de las transacciones de Bitcoin, Mt. Gox fue hackeado en 2014, en el que se perdieron 850,000 BTC. Tras el incidente, Mt. Gox se declaró en bancarrota, y solo una década después, en julio de 2024, los usuarios comenzaron a recibir una pequeña porción de sus tenencias originales.

Luego estuvo Bitfinex, que perdió 119,756 BTC en un hackeo de 2016. El exchange manejó la situación distribuyendo la pérdida entre todos los usuarios, reduciendo los saldos en un 36 % y otorgando a sus clientes tokens BFX que representaban sus pérdidas.

Más opciones y hasta los fondos de la ED atrapados en WazirX

Además de la “estrategia de pérdida socializada”, el exchange ha estado explorando otras opciones, incluyendo solicitar ayuda a Binance. WazirX acudió a su antiguo socio para ayudar a rescatar a sus clientes, según un informe del medio local Moneycontrol, que citó a una fuente anónima. 

Fuentes de la industria también dijeron que Binance controla un excedente de los ingresos del exchange así como alrededor de $80 millones de su token WRX. Se informó que la fuente dijo:

“Su disputa legal sigue en curso. Hay componentes del negocio de WazirX que aún están bajo el control de Binance, incluyendo los ingresos — el excedente de los mismos. Incluso su token WRX está bajo su control. Por lo tanto, se han puesto en contacto con Binance y las conversaciones están en marcha, pero en etapas tempranas.”

En su informe de prueba de reservas de enero de 2023, WazirX reveló que el 90 % de los activos de sus usuarios se mantienen en carteras de Binance. Unos meses después, en una publicación de blog, WazirX dijo que su token nativo está controlado por Binance, ya que este último realizó la IEO de WRX durante la cual se vendieron 108,401 tokens BNB por un valor de $2 millones, cuyos ingresos “fueron recolectados y retenidos por Binance”.

Todo esto ocurrió después de que el cofundador de WazirX, Nischal Shetty, tuviera una disputa pública en X con el CEO de Binance, Changpeng Zhao, sobre quién controla WazirX. Curiosamente, en noviembre de 2019, el exchange más grande del mundo, Binance, dijo que había adquirido WazirX, solo para que la historia cambiara cuando, en el verano de 2022, funcionarios indios allanaron la oficina de WazirX en Mumbai bajo sospechas de que estaba involucrada en lavado de dinero.

En respuesta, la Dirección de Ejecución de la India (ED) congeló los fondos de WazirX, y el Ministerio de Finanzas del país anunció una investigación sobre el exchange bajo la Ley de Gestión de Cambios Extranjeros (FEMA).

Ahora, los informes sugieren que incluso la ED tenía casi $1,1 millones en activos cripto incautados en WazirX. Estos fondos que fueron incautados en un caso de corrupción contra una aplicación de juegos llamada E‑Nuggets fueron transferidos al exchange apenas unos meses antes del hackeo.

El medio de noticias indio The Print informó que después de la investigación sobre E‑Nuggets, la ED solicitó a todos los exchanges cripto locales, incluidos WazirX y CoinDCX, que ayudaran a localizar las cuentas origen. Esto llevó al descubrimiento de la Dirección de Pago Virtual (VPA) utilizada para comprar cripto. Como resultado, la ED congeló todos los fondos en 70 cuentas cripto mantenidas con ZebPay, WazirX y Binance, con sede en Dubái.

Así, después de tomar control del cripto, los funcionarios abrieron una cuenta cripto para la ED y transfirieron todo el cripto con WazirX debido a que el exchange es local y tiene la mayor base de usuarios y liquidez. Pero ahora WazirX ha sido hackeado y ha perdido el 45 % de sus fondos. Sería interesante ver si las autoridades se presentarán y finalmente ofrecerán alguna guía y ayuda a la industria.

No es que los hackeos sean poco comunes en el espacio cripto. El año pasado, los atacantes robaron $1,7 mil millones de plataformas cripto, según un informe de crímenes cripto de Chainalysis. Aunque la cantidad robada en dichos ataques se ha reducido a menos de la mitad desde 2022, el número de ataques aumentó de 219 en 2022 a 231 en 2023. 

A medida que los precios de las criptomonedas subieron en todo el sector este año, los hackers han vuelto a la acción, con $1,48 mil millones robados este año hasta el 24 de junio de 2024, comparado con $657 millones en la misma época del año pasado, según TRM Labs. Sin embargo, los cinco principales exploits representaron hasta el 70 % del total robado. El informe declaró:

“Los compromisos de claves privadas y frases semilla siguen siendo un vector de ataque principal en 2024 junto con exploits de contratos inteligentes y ataques de flash loan.”

Así que, mientras los hackeos cripto continúan, el gobierno indio no ha logrado proporcionar directrices claras y establecidas para que estos exchanges no operen con opacidad.

Industria cripto inestable y no regulada de la India 

Después del incidente mayor, varios exchanges cooperaron con WazirX para ayudarle a rastrear los fondos robados y recuperar los activos de los clientes. Para analizar el ciberataque más a fondo, la compañía también colaboró con expertos forenses y agencias de aplicación de la ley para identificar y capturar a los perpetradores.

El exchange ha informado adicionalmente del incidente al Equipo de Respuesta a Emergencias Informáticas de la India (CERT‑In), que es una agencia responsable de incidentes de seguridad relacionados con computadoras. En el siguiente paso, se presentó un First Information Report (FIR), preparado por la policía para iniciar una investigación oficial. 

WazirX también envió el informe del incidente a la Unidad de Integridad Financiera (FIU)-India, con la que está registrado y que depende del Ministerio de Finanzas. Sin embargo, la brecha de seguridad de WazirX no entra dentro del alcance de la FIU, ya que la FIU supervisa las transacciones bajo la Ley de Prevención de Lavado de Dinero (PMLA) del país. Según Joanna Cheng, Asesora General Asociada en Fireblocks:

“Hasta ahora no existe una regulación específica para cripto en la India, y la industria se beneficiaría de expectativas regulatorias claras en temas como estándares de seguridad, gestión de riesgos y protección al consumidor. La intervención regulatoria en este espacio también significaría que los exchanges que atienden a un gran número de clientes minoristas sean responsables de sus acciones (o inacciones).“

La industria de criptomonedas en la India sigue sin regulación. El único paso importante tomado durante este tiempo fue una sentencia de la Corte Suprema en 2020 que anuló la prohibición del Banco de la Reserva de la India de 2018, permitiendo a los bancos facilitar transacciones cripto de usuarios y exchanges.

Además de eso, el desarrollo regulatorio del cripto en el país ha permanecido inmóvil. Hasta ahora, no se ha aprobado ninguna legislación para regular el sector, y el cripto sigue principalmente fuera del alcance de las autoridades.

La única supervisión regulatoria presente proviene de la FIU del gobierno indio, que tiene la tarea de supervisar el comercio de activos digitales virtuales. Según un informe de Economic Times de mayo de este año, 47 entidades reguladas en el país están involucradas en el comercio o manejo de activos cripto en la India. Esto ocurrió después de que el gobierno prohibiera a las plataformas cripto offshore operar en la India debido a su incumplimiento de las directrices contra el lavado de dinero (AML). 

Aunque no hay protección regulatoria para los usuarios cripto de la India, el gobierno ha impuesto impuestos de hasta el 30 % sobre las ganancias de la venta de cripto, sin permitir la compensación de pérdidas. Además, se deduce un 1 % de impuesto en la fuente por cada transacción.

Estas políticas han afectado negativamente a la industria, con usuarios cripto que se quejan de la falta de apoyo gubernamental que asfixia al sector mientras les quita una gran parte de sus ganancias en impuestos desde 2022.

La industria cripto de la India ha sufrido una falta de claridad regulatoria durante mucho tiempo, lo que ha llevado al aumento de actores malintencionados. Mientras WazirX ha sido objeto de un ciberataque, los usuarios también se han quejado de exchanges como BitBNS por estafar a la gente. 

La entidad registrada en FIU‑India, que se anuncia como cumpliendo con los estándares globales FATF para VASP, también sufrió un hackeo de $7,5 millones en 2022. Desde entonces, BitBNS ha estado actuando de forma dudosa, permitiendo a los usuarios depositar fondos pero sin habilitar retiros. Los usuarios especulan que su CEO, Gaurav Dahake, ya ha huido del país. A principios de este año, en una entrevista con The Economic Times, Dahake predijo que el BTC superaría los $100 K. Las víctimas están explorando una acción colectiva contra el exchange.

Pero eso no es todo. Los exchanges cripto en la India, incluido CoinDCX, no permiten a los usuarios la auto‑custodia de cripto, lo cual es totalmente contrario a la esencia del cripto. Los exchanges cripto indios no permiten transferencias de cripto a exchanges o carteras externas si los usuarios hacen depósitos en fiat. Esto agrava aún más el problema porque los usuarios no pueden auto‑custodiar incluso si lo desean, lo que significa que no pueden protegerse de eventos como el hackeo de WazirX.

Sin embargo, las cosas podrían cambiar finalmente, ya que el país más poblado del mundo, según se informa, está planeando publicar un documento de discusión que describa su postura política sobre el cripto antes de septiembre. No obstante, el gobierno ha intentado regular el cripto muchas veces, pero hasta ahora no se han tomado pasos concretos, a diferencia de las directrices claras introducidas por reguladores en todo el mundo. Incluso los EE. UU. han aprobado su primer ETF spot de Bitcoin, que ha atraído millones de dólares en flujos totales.

Así que, hasta que el gobierno indio decida dar a la industria cripto la atención y claridad regulatoria que necesita, los usuarios cripto locales y el sector seguirán sufriendo.

Haga clic aquí para obtener una lista de los cinco mejores exchanges de cripto.