Hackeo de Crypto.com: Lo que puede haber fallado según los expertos

PUNTOS IMPORTANTES:

Los piratas informáticos de Crypto.com lograron de alguna manera eludir las medidas de seguridad 2FA en el sitio.
El incidente afectó a un total de 483 usuarios, lo que dio lugar a retiros no autorizados por un total de 4.836,26 Ethereum, 443,93 Bitcoin, y aproximadamente 66.200 dólares en otras criptomonedas, un equivalente aproximado a unos 33,84 millones de dólares a precios de cotización.
Crypto.com, con sede en Singapur, anunció que había interrumpido los retiros de fondos después de que «un pequeño número de usuarios experimentara actividad no autorizada en sus cuentas» el lunes pasado, e instó a los clientes a restablecer su autenticación de dos factores (2FA).
Gleb Zykov, cofundador y CTO de HashEx, una empresa de seguridad de blockchain que se enfoca en la auditoría de códigos de contratos inteligentes, contó cómo los piratas informáticos podrían haber ingresado al sistema.

Crypto.com, la cuarta plataforma de intercambio de criptomonedas más grande de la industria ha admitido finalmente que ha perdido fondos de los usuarios debido a un reciente fallo de seguridad.

Los piratas informáticos de Crypto.com lograron de alguna manera eludir las medidas de seguridad 2FA en el sitio

Sin embargo, lo que sigue siendo un misterio es cómo los atacantes pudieron hacer esto. El intercambio en sí no ha hablado sobre el mecanismo implementado por estos piratas informáticos.

Según una publicación en el blog del jueves, el incidente afectó a un total de 483 usuarios, lo que dio lugar a retiros no autorizados por un total de 4.836,26 ETH, 443,93 BTC, y aproximadamente 66.200 USD en otras criptomonedas, un equivalente aproximado a unos 33,84 millones de dólares a precios de cotización.

Crypto.com, con sede en Singapur, anunció que había interrumpido los retiros de fondos después de que «un pequeño número de usuarios experimentara actividad no autorizada en sus cuentas» el lunes pasado, e instó a los clientes a restablecer su autenticación de dos factores (2FA)

Gleb Zykov, cofundador y CTO de HashEx, una empresa de seguridad de blockchain que se enfoca en la auditoría de códigos de contratos inteligentes, contó cómo los piratas informáticos podrían haber ingresado al sistema.

Articulosde interes

Fotografía de primer plano sobre un escritorio de madera oscura que muestra un documento formal con el título "Index Eligibility Criteria". Una pluma estilográfica roja apunta directamente a una cláusula específica que ha sido subrayada vigorosamente en tinta roja: "Digital Asset Reserve Limits". Al lado hay unas gafas de lectura y un vaso de agua, sugiriendo un entorno de revisión corporativa.

MSCI decidirá si excluye a empresas con reservas de Bitcoin

5 de enero de 2026

553

Fotografía de la Torre Bank of America en Nueva York, mostrando la fachada de cristal facetado con el gran letrero y logotipo de "BANK OF AMERICA" integrados en la parte superior. Una sucursal del banco es visible a nivel de calle.

Bank of America respalda una asignación del 4% en criptomonedas y elimina restricciones

5 de enero de 2026

562

Zykov explica que una de las formas de eludir esta medida era mediante un troyano:

“2FA también puede ser vulnerable. El dispositivo del usuario puede verse comprometido con un troyano. El troyano puede interceptar las credenciales del usuario y la contraseña de un solo uso generada en el sitio web. Luego, puede permitir que un pirata informático inicie sesión en la cuenta del usuario o controle la comunicación del usuario con el sitio”, dijo Gleb Zykov

Por otro lado, la empresa de seguridad Peckshield reveló más tarde que el incidente hizo que Crypto.com perdiera al menos 4.600 ETH (alrededor de 15 millones de dólares) en fondos de los usuarios, y que la escala del daño era «definitivamente peor».

Del análisis @cryptocom: los retiros no autorizados totalizaron 33 millones de dólares, incluidos 4836,26 ETH, 443,93 BTC y aproximadamente 66.200 USD en otras monedas

Según Peckshield, la mitad de los fondos robados se enviaron a Tornado Cash, un servicio de mezcla de criptomonedas que permite a los usuarios ocultar sus transacciones.

Además, el analista de blockchain ErgoBTC dijo que los hackers lograron llevarse unos 444 BTC, la cifra que Crypto.com confirmó en el informe post-mortem del 17 de enero.

Agregando otros 444 BTC a los 4,6 mil ETH informados anteriormente del hackeo de ayer @cryptocom. Todavía no se reconoce la pérdida, a pesar de las grandes salidas de la billetera de custodia hacia Tornado Cash de ETH y un conocido fiador de BTC (como se detalla a continuación)

*Fuente: Cuenta de Twitter de ∴Ergo∴ @ErgoBTC*

A pesar la lista de pruebas, inicialmente Crypto.com se negó a reconocer el hackeo, y el CEO de la compañía, Kris Marszalek, afirmó que «no se perdió ningún fondo de los clientes».

Mas tarde, Marszalek apareció en Bloomberg TV el miércoles 19, confirmando finalmente que unas 400 cuentas de clientes habían sido comprometidas

Según él, Crypto.com pausó rápidamente los retiros después de detectar que «algunas de las capas de defensa fueron violadas», se solucionó el problema y «volvió a estar en línea en cerca de 13 o 14 horas».

Nota relacionada:
Crypto.com suspende los retiros debido a una “actividad sospechosa”

Añadió que ese mismo día, «se reembolsaron todas las cuentas afectadas, por lo que no hubo pérdida de fondos de los clientes».

Cuando se le preguntó por el alcance real de las pérdidas sufridas por la plataforma de intercambio, Marszalek dijo que, «dada la escala del negocio, estas cifras no son especialmente importantes»

La autopsia de la empresa confirmó que el incidente de seguridad se produjo debido a problemas con el 2FA.

Descargo de responsabilidad: Toda la información encontrada en Bitfinanzas es dada con la mejor intención, esta no representa ninguna recomendación de inversión y es solo para fines informativos. Recuerda hacer siempre tu propia investigación.