Ciberseguridad: ¿Estamos más protegidos o más expuestos que nunca?
Nunca ha habido tanta regulación sobre ciberseguridad como actualmente, pero los incidentes, así como la computación cuántica, amenazan con invalidar la actual estructura tecnológica
La evolución tecnológica no sólo se aplica al ciudadano común y a las empresas para su mejor desarrollo, sino que los ciberdelincuentes también mejoran sus capacidades y maneras de conseguir información o acceder a entornos que se presuponían inexpugnables.
Este verano se hizo público el robo de aproximadamente 60 millones de euros en bitcoin desde dispositivos Coldcard en apenas 41 minutos por un error en la configuración de las claves de custodia de dichas wallets. Las cold wallets —carteras frías desconectadas de internet— se consideraban el estándar de seguridad máxima, el equivalente digital de una caja fuerte. Sin embargo, este incidente demuestra que la seguridad física y lógica no siempre son sinónimos: vulnerabilidades en el firmware no parcheadas, inseguridad en la cadena de suministro del hardware o los protocolos de firma pueden convertir el dispositivo más seguro en una puerta abierta.
Para evitar este tipo de acciones, el marco jurídico de ciberseguridad requiere sistemas de gestión con medidas de seguridad y gestión adaptadas a la tecnología actual (dentro de lo posible).
En Europa, el marco regulatorio es muy potente y está consolidándose en materia de ciberseguridad. Frente a ataques como el de Coldcard, MiCA (Reglamento 2023/1114) exige controles de integridad sobre el hardware y el firmware de los dispositivos de custodia, verificación de la cadena de suministro y protocolos de detección de manipulaciones. El artículo 75.8 obliga además a que cualquier pérdida de criptoactivos derivada de un incidente atribuible al proveedor —incluidas vulnerabilidades en dispositivos bajo su control— genere responsabilidad directa, con reembolso del valor de mercado. Esta responsabilidad patrimonial actúa como incentivo económico para que los custodios inviertan en auditorías de firmware, certificaciones de seguridad del hardware y monitorización continua de vulnerabilidades.
Por su parte, DORA (Reglamento 2022/2554) establece un conjunto de medidas de seguridad directamente aplicables. El artículo 9 exige a las entidades financieras —incluidos los proveedores de servicios de criptoactivos— implementar políticas de seguridad de las TIC que incluyan la gestión del cifrado y de las claves criptográficas, garantizando su generación, almacenamiento y revocación seguros.
Los artículos 10 y 11 imponen controles de acceso estrictos, autenticación robusta y protección contra accesos no autorizados, medidas que verifican la integridad del dispositivo antes de autorizar operaciones. El artículo 12 obliga a detectar actividades anómalas y el artículo 28 exige que las entidades evalúen y supervisen a sus proveedores terceros de servicios TIC —como los fabricantes de hardware de carteras—, verificando que cumplen estándares de seguridad equivalentes. Las pruebas de resiliencia operativa digital previstas en los artículos 24 a 27, incluyendo test de penetración avanzados, permiten identificar vulnerabilidades antes de que sean explotadas.
Otro ejemplo de los avances tecnológicos que puede poner en jaque al estatus actual de la ciberseguridad es una amenaza que no es tan lejana: la computación cuántica. Este avance tecnológico hace que la potencia de computación aumente de manera exponencial, por lo que las tecnologías de cifrado actuales podrían ser vulnerables directamente a ataques de fuerza bruta (ya que estos computadores cuánticos pueden realizar cálculos a una velocidad impensable hoy en día y pueden descifrar claves por mera prueba de acierto error). Esto podría comprometer los protocolos de curva elíptica que sustentan la seguridad de Bitcoin y la práctica totalidad de las blockchains actuales.
Para cubrir este aspecto, la Comisión Europea adoptó en abril de 2024 la Recomendación 2024/1101 sobre la transición a la criptografía poscuántica (PQC), instando a migrar los casos de alto riesgo antes de 2030 y completar la transición para 2035. De hecho la Comisión Europea está construyendo desde 2019 EuroQCI, una infraestructura de comunicación cuántica segura que abarca toda la UE, incluidos sus territorios de ultramar para salvaguardar los datos sensibles y las infraestructuras críticas mediante la integración de sistemas cuánticos en las infraestructuras de comunicación existentes, proporcionando una capa de seguridad adicional basada en la física cuántica.
La paradoja es evidente. Nunca ha habido tanta regulación sobre ciberseguridad como actualmente, pero estos incidentes, así como la computación cuántica, amenazan con invalidar la actual estructura tecnológica sobre la que se basa no solo el blockchain, sino cualquier sistema tecnológico que use cifrado.
La conclusión es incómoda: estamos regulando a toda velocidad un edificio cuyas vigas maestras podrían desmoronarse. La diferencia entre un incidente gestionable y un colapso sistémico puede ser no solo haber empezado la migración a criptografía post-cuántica cuando aún estábamos a tiempo, sino haber realizado una adecuada gestión de terceros y de código vulnerable en las aplicaciones gestionadas por estos.