Seguridad para Cripto y Web3: protección para exchanges, DeFi y custodia de activos digitales

Por qué los exchanges, DeFi y Web3 son objetivos prioritarios

Cripto es el único sector en el que el activo protegido es el propio dinero, transferible de forma instantánea, seudónima y sin un intermediario capaz de revertir la operación. Una vez que una transacción se confirma en la blockchain, no hay reverso, contracargo ni bloqueo de la cuenta de destino. Eso cambia toda la economía del ataque: el intruso que roba una clave o explota un contrato logra mover fondos fuera de cualquier alcance en minutos, y el costo del error recae por completo sobre el exchange, el protocolo o el custodio.

El resultado es una superficie de ataque amplia y de altísimo valor. Los exchanges concentran claves de miles de usuarios en hot wallets para garantizar liquidez; los protocolos DeFi bloquean valor en contratos públicos auditables por cualquier adversario; los bridges guardan reservas que conectan redes; y los fundadores y operadores se convierten en objetivos directos de ingeniería social, porque comprometer a una sola persona con acceso de firma puede valer toda la bóveda. Para quien opera en Brasil, se suma el riesgo regulatorio: con la entrada en vigor del marco del Banco Central, el prestador de servicios de activos virtuales responde también ante el regulador por fallas de seguridad y de prevención del lavado de dinero.

Lo que está en juego no es solo el saldo. Es la continuidad del negocio (un solo incidente de drenaje puede ser fatal para un proyecto), la confianza del usuario (la base migra ante la primera sospecha de insolvencia), la exposición regulatoria y, cada vez más, la responsabilidad de fundadores y administradores.

Amenazas y vectores típicos del sector cripto

En el nivel del código, los smart contracts concentran las fallas más costosas. El OWASP Smart Contract Top 10 organiza las clases más explotadas, entre ellas el control de acceso indebido, la manipulación de oráculo de precio, los errores de lógica, la falla de validación de entrada, la reentrancia, las llamadas externas no verificadas, los ataques de flash loan, el overflow/underflow de enteros, la aleatoriedad insegura y la denegación de servicio. La reentrancia clásica, en la que un contrato realiza una llamada externa antes de actualizar su propio estado y permite retiros repetidos, sigue presente pese a mitigaciones maduras como ReentrancyGuard. En DeFi, la combinación de flash loan con manipulación de oráculo es hoy uno de los vectores más destructivos, distorsionando precios para drenar pools enteras en una sola transacción.

En el nivel de la infraestructura y la operación, el vector decisivo es la clave privada. El compromiso de la clave por malware en el dispositivo de un operador, la filtración de una seed phrase, la falla en un firmante de multisig o en una ceremonia de firma mal diseñada equivale a la pérdida total de los fondos custodiados. En los exchanges, se suman la API expuesta (claves de API con permisos excesivos, ausencia de rate limiting, IP allowlisting débil), el flujo de retiro (aprobación automática sin una segunda barrera, fallas de autorización entre cuentas) y el secuestro de cuenta por cambio de SIM o por 2FA débil. Los bridges, al interconectar redes con modelos de confianza distintos, acumulan reservas y validadores que se convierten en un punto único de falla de altísimo valor.

En el nivel del usuario y la reputación, el phishing y los drainers pasaron a ser el vector de mayor volumen. Sitios y dApps falsos inducen a la víctima a firmar transacciones o a conceder aprobaciones de token ilimitadas, vaciando la billetera sin explotar ninguna vulnerabilidad de contrato. Los dominios typosquat, los anuncios maliciosos y la suplantación de marca en plataformas de hospedaje gratuito (netlify.app, vercel.app y similares) amplían el alcance, afectando tanto a los clientes como a la credibilidad del proyecto. La filtración de credenciales corporativas en la dark web cierra el ciclo, dándole al adversario el punto de partida para el acceso interno.

Exigencias regulatorias del sector cripto en Brasil

Brasil dejó de ser un vacío normativo. La Ley 14.478/2022 estableció el marco legal de los activos virtuales, definió qué es un activo virtual y qué es un prestador de servicios de activos virtuales, y creó un tipo penal específico de fraude con activos virtuales (reclusión de 4 a 8 años y multa) para quien gestione, oferte o intermedie operaciones con el fin de obtener una ventaja ilícita. La ley atribuyó al Poder Ejecutivo la designación del órgano regulador, papel que recayó sobre el Banco Central para los activos virtuales que no sean valores mobiliarios; estos permanecen bajo la competencia de la CVM.

En noviembre de 2025, el Banco Central publicó las Resoluciones BCB 519, 520 y 521, con vigencia a partir del 2 de febrero de 2026, que forman el marco operativo del sector. Estas disciplinan la autorización, la constitución y el funcionamiento de los Prestadores de Servicios de Activos Virtuales (también referidos como Sociedades Prestadoras de Servicios de Activos Virtuais, SPSAV) y la actuación de esas empresas en el mercado cambiario, extendiéndoles buena parte de la estructura regulatoria aplicable a las instituciones financieras, incluidos requisitos de gobernanza, gestión de riesgos, segregación de funciones, capital y seguridad de la información. En la práctica, los exchanges, custodios e intermediarios que operan en el país pasan a depender de una autorización del Banco Central y a responder ante el regulador por su postura de seguridad.

En paralelo, rigen las obligaciones transversales. La LGPD se aplica íntegramente a los datos personales de los usuarios (KYC, documentos, historial transaccional), con el deber de comunicar los incidentes de seguridad a la ANPD y al titular. Las reglas de prevención del lavado de dinero y del financiamiento del terrorismo (PLD/FT) imponen un KYC robusto, monitoreo de transacciones sospechosas, screening de sanciones y comunicación al COAF. Marcos como ISO/IEC 27001 y SOC 2, aunque no sean obligatorios por ley, son cada vez más exigidos por socios bancarios, aseguradoras e inversionistas institucionales como prueba de madurez. Decripte estructura el programa de cumplimiento para que esas capas dialoguen entre sí, en lugar de volverse documentos aislados.

Cómo Decripte implementa la seguridad de cripto y Web3

Decripte no vende reportes: implementa el área de seguridad del proyecto cripto de extremo a extremo. En la capa de smart contract, realizamos auditoría de código contra el OWASP Smart Contract Top 10 y los estándares del mercado, con revisión manual línea por línea sumada a análisis estático y simbólico (con herramientas como Slither y Mythril), modelado de amenazas específico del protocolo, pruebas de escenarios de reentrancia, manipulación de oráculo y flash loan, y reprueba tras la corrección. Para protocolos vivos, integramos esto a un ciclo continuo, porque cada upgrade de contrato es una nueva superficie.

En la capa de exchange y aplicación, ejecutamos pentest de la plataforma, de la API y de la app, con foco en los flujos críticos de cripto: autenticación y sesión, autorización entre cuentas, flujo de retiro, gestión de claves de API, rate limiting y protección contra automatización. Evaluamos y endurecemos el 2FA, recomendando autenticación resistente al phishing (FIDO2/WebAuthn) en lugar de SMS. En gestión de claves, diseñamos y revisamos la arquitectura de cold/hot wallet, los esquemas MPC y el uso de HSM, las ceremonias de firma, la política de firmantes de multisig y la segregación de funciones, eliminando los puntos únicos de compromiso.

En la capa de operación continua, el SOC 24x7 combina el monitoreo on-chain (movimientos anómalos, interacciones con direcciones de riesgo, patrones de drenaje) con el monitoreo de credenciales y de marca (filtraciones en la dark web, dominios de phishing y drainers que se hacen pasar por el proyecto) y con la protección de borde (WAF y mitigación de DDoS). Cuando ocurre lo peor, la Respuesta a Incidentes entra con SLA de contención, rastreo on-chain de los fondos, coordinación con exchanges y proveedores para intentar congelar activos, preservación de evidencias para autoridades y aseguradoras, y un plan de recuperación y comunicación. Todo esto se ancla en el diagnóstico inicial gratuito de Gestión de Amenazas (Decripte Intelligence Center), que ya entrega valor real antes de cualquier contrato.

Por dónde empezar a proteger su proyecto cripto

Empiece por lo que da visibilidad inmediata y costo cero: el diagnóstico gratuito de Gestión de Amenazas en decripte.com.br/intelligence-center. Sin tarjeta de crédito, el Decripte Intelligence Center monitorea la filtración de credenciales ligadas a su dominio, la exposición en la dark web y la reputación del dominio, incluidas las páginas de phishing y drainers que intentan hacerse pasar por su proyecto. Para un sector en el que el ataque suele comenzar por una credencial filtrada o por un sitio falso, esto ya reduce el riesgo real desde el primer día.

En paralelo, priorice lo que es irreversible. Si tiene smart contracts en producción o próximos a desplegar, la auditoría de contrato es la primera prioridad, porque el código es público y el error es definitivo. Si opera un exchange o custodia, empiece por la gestión de claves y por el pentest del flujo de retiro, los dos puntos donde una falla se convierte en pérdida total. Decripte estructura esa secuencia con usted y la ejecuta, organizando el orden de entrega para que la protección y el plazo avancen juntos.

Cuando quiera avanzar hacia los servicios completos (auditoría de smart contract, pentest, SOC 24x7, respuesta a incidentes y cumplimiento del marco del Banco Central), contrate en decripte.io/start o hable con un especialista en decripte.io/contato. El camino recomendado es claro: active el monitoreo gratuito ahora, audite lo que es irreversible enseguida y coloque la operación bajo vigilancia 24x7 para contener cualquier incidente antes de que los fondos salgan de su alcance.

Termos do setor

Smart contract

Programa que corre en la blockchain y ejecuta reglas de forma automática, sin intermediario. Como el código es público y las operaciones son irreversibles, sus fallas pueden drenar todo el valor bloqueado, lo que vuelve indispensable la auditoría antes del deploy y en cada actualización.

MPC (Multi-Party Computation)

Técnica de gestión de claves en la que la clave privada nunca existe entera en un solo lugar: se divide entre varias partes que firman transacciones en conjunto. Elimina el punto único de compromiso típico de una clave o seed phrase almacenada de forma aislada.

HSM (Hardware Security Module)

Dispositivo físico dedicado a generar, almacenar y usar claves criptográficas de modo que nunca salgan del hardware. En exchanges y custodia, protege las claves de firma contra la extracción por malware o el acceso indebido al servidor.

Drainer

Sitio o dApp malicioso que induce al usuario a firmar una transacción o aprobación de token, vaciando la billetera sin explotar ninguna falla de smart contract. Es hoy uno de los vectores de phishing de mayor volumen en Web3, atacando al usuario y a la reputación del proyecto.

PSAV (Prestador de Servicios de Activos Virtuales)

Figura creada por la Ley 14.478/2022 y regulada por las Resoluciones BCB 519, 520 y 521 (vigencia a partir del 2 de febrero de 2026), también referida como SPSAV. Los exchanges, custodios e intermediarios que operan en Brasil necesitan autorización del Banco Central y deben cumplir requisitos de gobernanza, PLD/FT y seguridad de la información.

Ataque de bridge

Explotación de un puente que conecta distintas blockchains. Como los bridges acumulan reservas y dependen de validadores o contratos que se convierten en un punto único de falla de altísimo valor, son un objetivo frecuente de robos a gran escala en DeFi.

Por onde começar

1. Active hoy el diagnóstico gratuito de Gestión de Amenazas en decripte.com.br/intelligence-center para mapear credenciales filtradas, exposición en la dark web y dominios de phishing que imitan su proyecto, sin tarjeta de crédito.
2. Audite todo smart contract antes del deploy y en cada upgrade, contra el OWASP Smart Contract Top 10, combinando revisión manual con análisis estático y simbólico (Slither, Mythril) y reprueba tras las correcciones.
3. Rediseñe la gestión de claves: mueva reservas a cold storage, adopte MPC y HSM, defina firmantes de multisig con segregación de funciones y elimine cualquier punto único de compromiso.
4. Haga pentest del exchange, de la API y de la app con foco en el flujo de retiro y en la autorización entre cuentas, y sustituya el 2FA por SMS por autenticación resistente al phishing (FIDO2/WebAuthn).
5. Implemente PLD/FT robusto (KYC, screening de sanciones, monitoreo de transacciones sospechosas y comunicación al COAF), alineado con la Ley 14.478/2022 y las Resoluciones BCB 519, 520 y 521.
6. Coloque la operación bajo SOC 24x7 con monitoreo on-chain, de credenciales y de borde (WAF/DDoS) para detectar drenaje y movimientos anómalos en tiempo real.
7. Tenga un plan de Respuesta a Incidentes listo, con SLA de contención, rastreo on-chain de los fondos y canales para intentar congelar activos junto a exchanges y proveedores.
8. Contrate el programa completo en decripte.io/start o hable con un especialista en decripte.io/contato para integrar auditoría, pentest, SOC, IR y cumplimiento del marco regulatorio brasileño.

Perguntas frequentes