Cada mes, Luker, Director de Seguridad de MetaMask, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer. Descubre todos los detalles a continuación, pero primero…
Pionera destacada de STEM: Willis Ware, precursor de la privacidad digital y la ciberseguridad
Willis Ware abrió camino en la privacidad digital y la ciberseguridad. "Codesarrolló la máquina IAS que sentó las bases del ordenador moderno a finales del siglo XX" y fundó The American Federation of Information Processing Societies.
La arquitectura de delegación de MetaMask se consolida con las integraciones de CoinFello, Clawnch y Revoke.cash
Este mes, hemos visto cómo la arquitectura de delegación de MetaMask se ha consolidado en 3 casos de uso únicos. CoinFello desarrolló un agente de IA con autocustodia para DeFi utilizando delegaciones ERC-7710 de nuestro Smart Accounts Kit, de modo que la clave de firma permanece en el enclave seguro del dispositivo en lugar de residir en el entorno de ejecución del agente. Esto significa que una inyección de prompt o una dependencia comprometida no puede acceder a ella.
Clawnch llevó el modelo más lejos, conectando agentes que generan comisiones de trading reales para gastar esos ingresos dentro de restricciones impuestas por contratos, en lugar de confiar en el criterio propio del agente. Si una acción queda fuera de los límites de la delegación, la transacción se revierte a nivel de contrato, no después del hecho. Este modelo que prioriza la seguridad es la razón por la que Agent Wallet se construye en torno a reglas, no a delegación ciega. El agente puede actuar, pero lo hace dentro de los límites establecidos por el usuario.
Para mayor tranquilidad si tienes curiosidad por los agentes, consulta esta perspectiva de nuestro responsable de relaciones con desarrolladores, Francesco Andreoli, quien desmiente el malentendido de que la automatización y la autocustodia son mutuamente excluyentes.
Más allá de los agentes, Revoke.cash utilizó el Smart Accounts Kit de MetaMask para lanzar Auto-Revoking, que elimina de forma programada las aprobaciones de tokens de riesgo mediante un permiso ERC-7715 con alcance limitado exactamente a esa acción y nada más, todo ello sin necesidad de custodiar las claves del usuario. En conjunto, estas tres integraciones apuntan a un principio al que seguimos volviendo: la autoridad debe tener un alcance definido, estar limitada en el tiempo y aplicarse onchain, no prometerse mediante una aplicación o un agente. Esa es la diferencia entre "confía en mí" y "el contrato no me permite hacer otra cosa", y es el patrón de diseño que seguiremos desarrollando a medida que más socios incorporen la automatización a las wallets con autocustodia.
El ingeniero de seguridad de Consensys Herman Junge comparte las conclusiones del curso de ciberseguridad de Harvard Kennedy School
El profesional de seguridad Herman Junge de Consensys comparte las conclusiones del curso ejecutivo de política de ciberseguridad de Harvard Kennedy School, abordando la IA como multiplicador de fuerza tanto para atacantes como para defensores, la fragilidad de la infraestructura de la que depende la vida digital moderna y cómo el conflicto cibernético opera en una zona gris por debajo del umbral de la guerra. Concluye con la observación de que la seguridad, en última instancia, tiene éxito o fracasa en función de la comunicación: el riesgo técnico debe hacerse comprensible para quienes tienen poder de decisión y control presupuestario, o en la práctica no existe.
La brecha en el proveedor de envíos de Trezor expone los nombres y direcciones de 12.000 clientes en 7 países
Trezor reveló recientemente que uno de sus proveedores de envíos sufrió una brecha de datos que expuso información de pedidos de clientes que recibieron envíos en los 90 días anteriores al 8 de agosto de 2026, afectando a EE. UU., Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. Los nombres, direcciones de envío, números de teléfono y correos electrónicos de casi 12.000 clientes quedaron expuestos, aunque las wallets, los fondos y el firmware no se vieron afectados, y la estricta política de retención de datos de 90 días de Trezor limitó la cantidad de información que estuvo en riesgo.
MetaMask informó a sus usuarios el mismo día. Aunque las tenencias de criptomonedas no se vieron comprometidas, una brecha como esta proporciona a los atacantes exactamente el tipo de datos del mundo real (nombres, direcciones y la confirmación de que alguien posee una hardware wallet) que alimenta ataques de phishing convincentes y, en los peores casos, ataques físicos. Sé especialmente escéptico ante correos electrónicos o mensajes de texto inesperados que afirmen provenir de un proveedor de wallets. Esto sigue a dos brechas de datos anteriores sufridas por usuarios de Trezor en 2022 y 2024.
Usuarios de wallets cripto atacados mediante correos electrónicos de phishing
Los usuarios de Trezor no son los únicos que deben estar en alerta máxima. Hay una nueva oleada de correos electrónicos maliciosos que suplantan la identidad de wallets cripto, llegando incluso a utilizar marcas de verificación azules falsas pero convincentes. Recuerda siempre verificar la dirección del remitente y ten en cuenta que MetaMask nunca (jamás) te pedirá tu frase de recuperación secreta ni te solicitará que verifiques nada para mantener el acceso.
Sé especialmente cauteloso con las comunicaciones que transmiten urgencia. Te animamos a contactar con support.metamask.io o @MetaMaskSupport si tienes alguna duda. Para más información, consulta nuestro artículo de soporte: "¿Este correo electrónico es realmente de MetaMask?"
Un fallo en el firmware de Coldcard explotado por 116 millones de dólares tras pasar desapercibido durante cinco años
Este es un golpe duro para quienes defienden que el cold storage es la opción segura. A partir del 30 de julio de 2026, un atacante explotó un fallo de firmware de cinco años de antigüedad en la wallet Coldcard de Coinkite, que se remonta a un error de compilación de marzo de 2021 que desactivó silenciosamente el generador de números aleatorios por hardware del dispositivo y recurrió a un sustituto de software débil, reduciendo la fortaleza efectiva de las claves hasta tan solo 40 bits y haciendo que las seeds fueran vulnerables a ataques de fuerza bruta sin necesidad de acceso físico al dispositivo. En cuatro oleadas, los atacantes vaciaron aproximadamente 1.816 BTC (unos 116 millones de dólares) de más de 5.200 direcciones, convirtiéndolo en el tercer mayor hackeo cripto de 2026 y el mayor exploit de hardware wallet registrado hasta la fecha. Actualizar el firmware no soluciona las wallets que ya generaron una seed con el código defectuoso; cualquier persona en ese período debe considerar su seed existente como comprometida y migrar a una generada de nuevo.
Lo que hace que este caso merezca reflexión no es tanto la cifra en dólares, sino lo que dice sobre el modelo de seguridad "no confíes, verifica". El firmware de Coldcard era de código abierto, y los usuarios podrían haber reproducido la compilación y detectado el fallo en cualquier momento durante cinco años, pero, como descubrió CoinDesk, prácticamente nadie lo examinó con suficiente detalle, y según se informó, un desarrollador señaló el código de aleatoriedad defectuoso más de un año antes de que fuera explotado, solo para que le dijeran que ya habría salido a la luz si fuera real.
La Ethereum Foundation avanza en su hoja de ruta post-cuántica a medida que el riesgo cuántico para las criptomonedas se vuelve más concreto
El riesgo cuántico en las criptomonedas se ha vuelto más concreto últimamente, y tres noticias de este mes muestran el cambio de la teoría a la preparación. En primer lugar, el fundador de Quantus Network, Christopher Smith, advirtió que el primer ataque cuántico real a las criptomonedas probablemente no tendrá el aspecto de un espectacular robo a la wallet de Satoshi. En cambio, podría manifestarse como una oleada de brechas de wallets de apariencia ordinaria sin ningún rastro forense, ya que un ordenador cuántico suficientemente potente podría derivar claves privadas directamente a partir de claves públicas ya expuestas onchain, sin dejar ningún dispositivo comprometido ni exchange al que señalar.
Al mismo tiempo, la Ethereum Foundation está destinando recursos reales para anticiparse a ese riesgo: el investigador Justin Drake anunció que, tras ocho años de investigación, la Fundación está alejando la L1 de Ethereum de la función hash Poseidon en favor de alternativas consolidadas como SHA y BLAKE, calificándolo de hito en la hoja de ruta post-cuántica más amplia de la red.
Esa hoja de ruta está comenzando a alcanzar las partes de Ethereum donde se concentra dinero real. Un borrador de EIP presentado por Kevaundray Wedderburn de la Ethereum Foundation propone reconstruir el contrato de depósito de validadores, la puerta de entrada por la que pasan aproximadamente 104.000 millones de dólares en ETH en staking, ya que el contrato existente codifica de forma fija las dimensiones de las firmas BLS actuales y no tiene espacio para las claves más grandes que requieren los esquemas post-cuánticos. El nuevo diseño aceptaría claves de longitud variable de hasta 8.192 bytes y etiquetaría cada depósito con un "identificador de esquema", de modo que BLS siga funcionando hoy mientras se deja espacio para añadir posteriormente un estándar post-cuántico aún por determinar, además de un modo de retirada irreversible para eliminar definitivamente BLS en el futuro.
TheDAO.fund reúne a expertos en seguridad para debatir sobre las brechas en la seguridad operacional y el futuro de la financiación de la seguridad en Ethereum
TheDAO.fund reunió a un grupo de expertos en seguridad de Ethereum para una charla sobre seguridad operacional (OpSec), con la participación de Hudson Jameson, Isaac Patka, Joseph "Dobs" Dobson, Joe "Audit Wizard" Van Loon, Vladimir "Officer's Notes" Sobolev, Anuoluwapo "Anu" Adeleke, Aruda Usman, Roman y el anfitrión Griff Green.
La conversación abordó por qué la OpSec es a menudo el punto de mayor exposición de los equipos cripto, por qué las recomendaciones de las auditorías no siempre se traducen en acciones, y cómo la complacencia, los factores humanos y el seguimiento deficiente pueden derivar en pérdidas importantes.
Griff también compartió más detalles sobre la próxima fase de TheDAO.fund: un enfoque más proactivo y orientado a iniciativas para financiar la seguridad de Ethereum. Spoiler: se avecinan solicitudes de propuestas.
Bybit presenta una demanda civil contra Corea del Norte y el Grupo Lazarus por el hackeo de 1.500 millones de dólares
Hablando de pérdidas récord, Bybit se enfrenta a la nación de Corea del Norte y al Grupo Lazarus en una demanda civil presentada ante el Tribunal de Distrito de EE. UU. para el Distrito de Columbia por el mayor robo de criptomonedas de la historia hasta la fecha, con aproximadamente 1.500 millones de dólares en ETH y stETH. Bybit también obtuvo una medida cautelar preliminar que congela los activos robados en poder de un grupo de demandados no identificados como "John Doe", impidiéndoles mover o vender los fondos mientras continúa el litigio.
La medida se suma a las investigaciones penales en curso en EE. UU., reflejando el esfuerzo más amplio de Bybit, en coordinación con las fuerzas del orden y otros exchanges, para recuperar los fondos y sentar un precedente que responsabilice a los actores patrocinados por estados. Corea del Norte ha robado un estimado de 6.750 millones de dólares en criptomonedas desde 2016, según un informe de Chainalysis, y se cree que gran parte de ello financia el programa de armamento de la RPDC.
El Informe de Seguridad Cripto de agosto de 2026 de MetaMask cubrió el exploit del firmware de Coldcard por 116 millones de dólares que drenó 1.816 BTC tras pasar desapercibido durante cinco años, la demanda civil de Bybit contra Corea del Norte y el Grupo Lazarus por el hackeo de 1.500 millones de dólares, y el avance de la Ethereum Foundation en su hoja de ruta post-cuántica. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más riesgos emergentes, amenazas y consejos sobre cómo mantenerte seguro en todo el ecosistema.
