El manual de seguridad ha cambiado.
Los ataques de fuerza bruta todavía existen, pero la amenaza más aguda ahora se parece más a un modelo de agente durmiente industrializado:
Actores maliciosos que se infiltran en equipos, flujos de trabajo y sistemas de acceso antes de esperar el momento más limpio para atacar.
Eso convierte la contratación en algo mucho más que una búsqueda de talento. Cada nueva contratación técnica se convierte en una decisión de confianza con un riesgo real en el balance. Un desarrollador comprometido, un contratista mal evaluado o un vector interno pueden convertir el papeleo de incorporación en millones de valor total bloqueado (TVL) drenado.
Se gastan fortunas en auditorías de contratos inteligentes, pero la brecha de seguridad más devastadora hoy es la puerta trasera humana, un camino directo que ninguna auditoría de software puede detectar ni bloquear.
Explotando cada vulnerabilidad
Para un exchange de criptomonedas o un protocolo de finanzas descentralizadas (DeFi), cada nueva contratación es efectivamente una operación de alto apalancamiento. El colateral son los activos de sus usuarios y la reputación de la marca.
Grupos patrocinados por el estado norcoreano, como el notorio Grupo Lazarus, han industrializado la estrategia del agente durmiente. Sus tácticas se han desplazado hacia trampas intrincadas de falsos reclutadores, apuntando al corazón de la industria cripto.
La cultura remota de las criptomonedas hace que esta estrategia sea aún más efectiva, ya que el único cortafuegos de seguridad es el departamento de recursos humanos (RR. HH.). Como resultado, los departamentos de RR. HH. deben aprender rápidamente cómo estos operativos están eludiendo las defensas técnicas para infiltrarse en los equipos.
Deben construir un proceso de contratación de confianza cero para proteger no solo los activos en custodia y la marca, sino también su visión.
De los protocolos a las personas
Según Chainalysis, los actores de amenaza norcoreanos robaron un récord de 2,02 mil millones de dólares en criptomonedas en 2025. Fue un incremento interanual del 51%, con una parte considerable atribuida al acceso tipo interno.
La nueva estrategia es la Infiltración en origen.
En lugar de irrumpir en una empresa, simplemente solicitan un empleo. Una vez dentro, el operativo puede mapear fácilmente la red interna e identificar cada monedero caliente. El resultado no es solo la pérdida de fondos, sino también la subversión total de la lógica del protocolo.
Este cambio se ilustra mejor con brechas de ingeniería social devastadoras y manipulación de infraestructura que han redefinido la seguridad de los exchanges y protocolos.
En febrero de 2025, el Grupo Lazarus comprometió el entorno de desarrollo de la infraestructura en la que Bybit confiaba. Inyectaron código malicioso en la interfaz del monedero, engañando a los operadores para que firmaran a ciegas lo que parecían ser “transferencias rutinarias”.
Esto provocó una pérdida récord de 1,5 mil millones de dólares, destacando una vulnerabilidad crítica. La seguridad de un exchange es tan fuerte como la integridad de las personas que gestionan su canal de despliegue.
En abril de 2026, la organización autónoma descentralizada (DAO) Kelp sufrió un ataque de 292 millones de dólares vinculado al subgrupo TraderTraitor de Lazarus. Las investigaciones revelaron que los atacantes se habían infiltrado en el proyecto como colaboradores.
Envenenaron el proceso de verificación del protocolo y forzaron una conmutación por error hacia infraestructura maliciosa.
Esto es un recordatorio contundente de que descentralizado no significa invulnerable si los colaboradores principales están comprometidos. Sirve como una lección aleccionadora de que un protocolo solo puede ser tan inmutable como la integridad de su programador.
Anatomía de la trampa
La infiltración comienza mucho antes de la primera llamada por Zoom.
-
Los atacantes fabrican historiales digitales completos para proporcionar pruebas de trabajo que satisfacen incluso a los reclutadores más escépticos.
-
Los operativos suelen utilizar firmas falsas de capital riesgo (VC) o de reclutamiento para construir un historial de un año. Esto puede incluir blogs técnicos, recomendaciones en LinkedIn y commits en GitHub.
No se limitan a enviar un currículum. En su lugar, presentan una vida digital curada y mejorada por IA diseñada para parecer la de un experto cripto de alto nivel.
En otros casos, el operativo se hace pasar por reclutador de un exchange o firma de VC prestigiosa. Se acercan a los desarrolladores actuales de un proyecto con ofertas laborales que requieren una prueba técnica. En realidad, es una estratagema que actúa como mecanismo de entrega de malware.
Esto fue lo que ocurrió en el caso de Veltrix Capital, que no era una empresa de reclutamiento real. Fue diseñada para atraer a desarrolladores cripto a un proceso de solicitud falso y comenzar su proyecto de ingeniería social.
Pruebas de código como caballos de Troya
La fase de evaluación técnica es el punto de entrada definitivo a la seguridad del monedero de un proyecto cripto. En un flujo de contratación estándar, es común que un candidato envíe un repositorio a un desarrollador principal para su revisión.
-
Envenenamiento de dependencias: Investigadores de ReversingLabs han identificado paquetes maliciosos como graphalgo (en PyPI) y bigmathutils (en npm) usados específicamente en estas pruebas para casa.
-
La carga útil: En el momento en que un responsable de contratación o desarrollador principal ejecuta npm install para revisar el trabajo del candidato, se ejecuta un script posterior a la instalación.
-
El resultado: Se despliega un troyano de acceso remoto (RAT), a menudo una variante del BeaverTail infostealer. Inmediatamente busca la extensión de navegador MetaMask y exfiltra las cookies de sesión.
La entrega del malware se completa. Esto da al atacante acceso a los entornos internos de Slack, GitHub y producción.
Identificar señales de alerta durante las llamadas
Detectar operativos norcoreanos requiere mirar más allá de las habilidades técnicas y centrarse en las inconsistencias durante las llamadas por Zoom, por ejemplo.
-
Esté atento a fallos técnicos persistentes o excusas de baja conexión que impidan aparecer en cámara durante discusiones técnicas profundas.
-
Sea sensible a la clonación de voz por IA en tiempo real o a retrasos extraños en las respuestas. Este desajuste entre identidad y voz ocurre cuando una persona maneja la conversación verbal mientras otra proporciona respuestas técnicas en segundo plano.
-
Existe un evidente desajuste entre habilidad y madurez cuando un candidato Senior en Rust tiene dificultades con ejercicios improvisados de pizarra sobre primitivas DeFi. Si solo puede rendir cuando consulta a su equipo, probablemente no sea quien dice ser.
-
Finalmente, busque filtros estáticos o borrosos de oficina en casa que no coincidan con la iluminación o los movimientos del candidato. Estas inconsistencias visuales suelen ser el resultado de software de deepfake en tiempo real usado para mantener la identidad del operativo.
El error humano
Las organizaciones deben implementar un marco de contratación de confianza cero para proteger su tesorería del error humano. Dicho marco debe tener una verificación rigurosa y multinivel antes de otorgar cualquier permiso interno.
Un marco de contratación de confianza cero reemplaza la contratación basada en la fe por un ciclo de validación reforzado en seguridad donde ninguna credencial es válida hasta ser comprobada. Los proyectos neutralizan la amenaza de solicitantes sintéticos avanzados anclando identidades y verificando habilidades en tiempo real.
En Web3, cada contratación es una inversión en la custodia del protocolo y, como resultado, añade un nuevo firmante al multi-sig de la organización. Con la creciente complejidad de las estrategias de los hackers, los departamentos de RR. HH. remotos deben seguir formándose en brechas de seguridad e implementar verificaciones rigurosas antes de liberar cualquier contrato a posibles contratados.
Cómo implementar la contratación de confianza cero
Seguridad Operacional Social (Social OpSec) es un marco defensivo diseñado para sanear la huella digital de un equipo. Garantiza que los datos públicos fragmentados no puedan ser recolectados por actores patrocinados por estados para diseñar una brecha organizacional elaborada.
El proceso de contratación de un protocolo debe ser tan seguro como sus contratos inteligentes para proteger los activos de sus partes interesadas. Para ello, se recomienda implementar de inmediato los siguientes pasos:
-
Verificación centrada en la identidad: Utilice un servicio de verificación de identidad en vivo (como Jumio o Clear) para confirmar la identidad del candidato con su documento oficial. Esto debe hacerse en tiempo real durante la primera videollamada.
-
Evaluaciones técnicas en entornos aislados: Nunca ejecute el código de un candidato en una máquina local. Use entornos en la nube aislados y efímeros como Gitpod o Replit para revisar y ejecutar el código. Es el equivalente en contratación a usar una billetera desechable para operaciones riesgosas.
-
Codificación en vivo con cámara encendida: Sustituya las pruebas para casa por sesiones interactivas de codificación o pizarra en vivo. Esto evita que los candidatos subcontraten el trabajo a un equipo de apoyo en segundo plano.
-
Audite sus dependencias: Antes de revisar cualquier repositorio externo, escanee los archivos de configuración (como package.json) en busca de paquetes desconocidos o con pocas descargas. Estos podrían ser versiones falsificadas de herramientas legítimas.
Más allá del cortafuegos
La seguridad ya no es solo responsabilidad del Director Técnico (CTO) en 2026; comienza con el departamento de RR. HH.
Los casos de Kelp DAO y Bybit demuestran que incluso las configuraciones técnicas más robustas pueden desmoronarse por una sola persona de confianza comprometida. Un modelo de contratación de confianza cero ayuda a garantizar que las nuevas incorporaciones estén allí para construir la visión, no desmantelarla.
Tratar cada contratación con el mismo escrutinio que una operación multimillonaria es la única forma de asegurar la supervivencia a largo plazo del protocolo.
Cómo comprar criptomonedas en Toobit
Para comprar criptomonedas en Toobit, crea una cuenta, completa la verificación y ve a Comprar cripto. Elige un token, selecciona un método de pago y confirma la compra. Tus activos aparecerán en la Cuenta Spot una vez que se complete la transacción.
¡Felicidades, ahora sabes cómo comprar criptomonedas en Toobit!
