En septiembre de 2023, Stake.com – una de las plataformas de apuestas cripto más grandes del mundo, con aproximadamente 4.700 millones de dólares en GGR en 2024 – perdió 41 millones de dólares en un hackeo. No fue una estafa, no fue un exit scam, no fue un fallo de los usuarios: fue un ataque a las hot wallets de la plataforma por parte de hackers sofisticados que lograron comprometer claves privadas. Los fondos de los usuarios fueron restituidos en 48 horas. Pero la lección quedo grabada: si le puede pasar al más grande, le puede pasar a cualquiera.
Llevo nueve años en esté sector y he documentado cada incidente de seguridad relevante. No lo hago por morbosidad sino por necesidad: entender como atacan los hackers es la base para proteger tus fondos.
Cronología de Brechas de Seguridad en el Sector Gambling
El hackeo de Stake fue el más mediatico pero no el único. El sector del cripto gambling ha sufrido ataques de diversa escala y sofisticación a lo largo de los años. Los operadores de gambling ilegal en la UE generaron 80.600 millones de euros en ingresos, y esa magnitud atrae tanto a apostadores como a cibercriminales.
Los ataques a plataformas de apuestas cripto se dividen en tres categorías. La primera son los hackeos de hot wallets, como el de Stake: los atacantes obtienen acceso a las claves privadas de las wallets conectadas a internet que la plataforma usa para procesar depósitos y retiros. Estas wallets, por necesidad operativa, mantienen una porción de los fondos accesible de forma rápida, lo que las convierte en el objetivo más atractivo.
La segunda categoría son las vulnerabilidades de smart contracts. En plataformas que operan con contratos inteligentes – especialmente dApps descentralizadas -, un error en el código puede permitir a un atacante drenar los fondos del contrato. A diferencia de un hackeo de wallet, donde el atacante necesita robar claves privadas, una vulnerabilidad de smart contract permite al atacante interactuar con el contrato de forma que el propio código autoriza la extracción de fondos. Es un fallo de diseño, no de seguridad perimetral.
La tercera son los exit scams: plataformas que operan durante meses o años, acumulan depósitos de usuarios y desaparecen con los fondos. Técnicamente no son hackeos sino fraudes, pero el resultado para el apostador es idéntico: perdida total de fondos sin recurso. Los exit scams son más comunes en plataformas pequeñas, sin reputación establecida y con datos de contacto anónimos.
Principales vectores de ataque y como operan los hackers
Los hackeos de plataformas cripto no son obra de adolescentes en garajes. Son operaciones sofisticadas, a menudo respaldadas por actores estatales – el hackeo de Stake fue atribuido al grupo Lazarus, vinculado a Corea del Norte. Los vectores de ataque más comunes son cuatro.
El phishing dirigido (spear phishing) es el más frecuente: emails o mensajes personalizados que enganan a empleados de la plataforma para que revelen credenciales de acceso. Un solo empleado con acceso a las claves de las hot wallets es suficiente para comprometer millones en fondos.
Las vulnerabilidades en la cadena de suministro de software son otro vector crítico. Las plataformas cripto dependen de decenas de librerias y servicios de terceros. Si un atacante compromete una de esas librerias, puede inyectar código malicioso que se ejecuta dentro de la plataforma sin que nadie lo detecte.
La ingenieria social avanzada incluye la suplantación de identidad de proveedores, socios tecnologicos o reguladores para obtener acceso a sistemas internos. Y las vulnerabilidades de día cero – fallos en el software que el fabricante desconoce – permiten ataques contra los que no existe defensa previa.
Un vector menos técnico pero igualmente peligroso es el insider threat: empleados de la plataforma que filtran información sensible o facilitan el acceso a los atacantes. En una industria donde muchos operadores cripto operan con equipos remotos y distribuidos globalmente, la verificación de antecedentes y la segmentación de accesos son medidas críticas que no todas las plataformas implementan con rigor.
Para el apostador individual, la amenaza directa más común no es el hackeo de la plataforma sino el phishing dirigido a usuarios: sitios web falsos que imitan la plataforma real, bots de Telegram que se hacen pasar por soporte técnico, y malware diseñado para robar las claves de tu wallet.
Medidas prácticas para proteger tus fondos
No puedes evitar que una plataforma sea hackeada, pero puedes minimizar tu exposición y proteger los fondos que están bajo tu control.
Primera medida: no mantiene más fondos en la plataforma de los que necesitas para tu sesión de apuestas actual. Si tu bankroll total es de 2.000 dólares, mantiene 300-500 en la plataforma y el resto en una wallet personal. Si la plataforma es hackeada, tus perdidas se limitan a lo que tenias depositado, no a tu bankroll completo.
Segunda medida: activa la autenticación de dos factores (2FA) en todas las cuentas relacionadas con cripto – la plataforma de apuestas, tu exchange, tu email. Usa una app de autenticación (Google Authenticator, Authy) en lugar de SMS, ya que los mensajes de texto son vulnerables a ataques de SIM swap.
Tercera medida: verifica siempre la URL de la plataforma antes de introducir credenciales. Los sitios de phishing replican la apariencia de la plataforma real con URLs ligeramente modificadas (stoke.com en lugar de stake.com, por ejemplo). Un marcador en el navegador elimina esté riesgo.
Cuarta medida: usa una wallet hardware para almacenar el grueso de tu bankroll. Las claves privadas nunca se exponen a internet, lo que las hace inmunes al malware. Para la operativa diaria, transfiere solo lo necesario a una wallet móvil o de escritorio.
Quinta medida, y quizá la más importante: diversifica entre plataformas. No deposites todo tu bankroll en un solo operador. Si usas tres plataformas con un tercio de tus fondos en cada una, un hackeo o exit scam te cuesta un tercio de tu bankroll, no la totalidad. Es la misma lógica de la diversificación financiera, aplicada al cripto gambling. Si quieres profundizar en todas las capas de protección disponibles, la guía de seguridad en apuestas blockchain aborda desde la infraestructura de las plataformas hasta las mejores prácticas personales.