SSO Módulo 4- Mejorando la seguridad en línea: Explorando 2FA, sus limitaciones y la amenaza del SIM swapping

En web3, garantizar medidas de seguridad sólidas es fundamental.

Una de esas medidas es la autenticación de dos factores (2FA), que añade una capa extra de protección a las cuentas y transacciones de los usuarios.

En este curso, profundizamos en el funcionamiento de 2FA en web3, examinamos sus limitaciones y arrojamos luz sobre la amenaza cada vez mayor del SIM swapping.

Entendiendo 2FA en Web3

La autenticación de dos factores es un mecanismo de seguridad que requiere que los usuarios proporcionen dos factores de autenticación distintos para acceder a una cuenta.

El objetivo es proteger tus fondos tanto como sea posible reduciendo el riesgo de que algo tan simple como un ladrón de contraseñas los vacíe en un abrir y cerrar de ojos.

Estos factores de autenticación se dividen en tres categorías:

1. Algo que sabes: incluye una contraseña, un PIN o preguntas de seguridad.
2. Algo que tienes: un dispositivo físico, como un smartphone o un token de hardware, que genera códigos de tiempo limitado.
3. Algo que eres: datos biométricos como huellas dactilares o reconocimiento facial.

En el ámbito de web3, la aplicación más común de 2FA consiste en combinar una contraseña (algo que sabes) con un código de tiempo limitado generado por una app de smartphone (algo que tienes).

Fuente: Swoopnow

Este código dinámico cambia cada pocos segundos, lo que hace extremadamente difícil que los atacantes obtengan acceso no autorizado, incluso si han logrado obtener la contraseña.

La 2FA es una práctica estándar en los exchanges centralizados (CEX), un proceso obligatorio tan importante como el KYC.

Los CEX suelen desarrollar su propio “autenticador”, como Binance Authenticator, que te permite acceder a tu cuenta mediante un código QR y una clave de 16 dígitos.

Fuente: Binance

Límites de la 2FA

A pesar de su eficacia, la 2FA tiene ciertas limitaciones:

1. Ataques de phishing: Si los usuarios son engañados para revelar sus credenciales a través de sitios web o correos electrónicos falsos, el 2FA podría no impedir por completo el acceso no autorizado.
2. Dependencia del dispositivo: Depender de un solo dispositivo para el 2FA podría generar un único punto de fallo. Perder el dispositivo o encontrar problemas técnicos puede dejar a los usuarios fuera de sus cuentas.
3. Ingeniería social: Atacantes hábiles podrían manipular a los representantes de atención al cliente para transferir el 2FA de un usuario a un nuevo dispositivo, obteniendo acceso no autorizado. La amenaza del SIM swapping

En el espacio web3, el SIM swapping se ha convertido en una amenaza importante.

El SIM swapping implica que un actor malicioso convence al operador móvil del usuario de transferir su número de teléfono a una nueva tarjeta SIM bajo el control del atacante.

Una vez logrado esto, el atacante puede interceptar los códigos 2FA enviados por SMS.

Fuente: SimSwapLaw

Las implicaciones del SIM swapping en el contexto de web3 son graves.

Si un atacante obtiene el control del número de teléfono de una víctima, puede potencialmente eludir el 2FA y acceder a carteras de criptomonedas, dApps y otras cuentas sensibles.

Esto ha provocado pérdidas financieras considerables para muchas personas.

En 2018, el inversor en criptomonedas Michael Terpin fue víctima de un asombroso ataque de SIM swapping de $23.8 millones. En octubre de 2021, Coinbase reveló que los ciberdelincuentes habían tomado ilícitamente criptomonedas de un mínimo de 6.000 usuarios como resultado de una brecha en su sistema 2FA, mediante sim swapping.

“A medida que crece la popularidad de Web3 y atrae a más personas a la industria, también aumenta la probabilidad de ataques de SIM swapping debido a sus requisitos técnicos relativamente menores.” declaró recientemente el CISO de la empresa de seguridad blockchain Slowmist a CoinTelegraph.

Una serie de ataques de sim swapping en el espacio cripto en las últimas semanas demostró que esas palabras eran ciertas.

Desde junio de 2023, más de 30 proyectos cripto han sido objetivo de ataques de SIM swap, que se usan para tomar el control de cuentas de Twitter y publicar wallet drainers. En un solo ataque, se robaron al menos $765K en NFTs, el la cuenta de Twitter de Gutter Cat Gang fue hackeada mediante el intercambio de SIM.

Fuente: Matt Medev, cofundador, CEO y EIC de NFT Now

Mitigar la amenaza

Para contrarrestar los riesgos asociados al intercambio de SIM y mejorar la seguridad en web3, se pueden tomar varias medidas:

1. Aplicaciones de autenticación: usar aplicaciones 2FA dedicadas como Google Authenticator o Authy genera códigos sin conexión, lo que reduce la vulnerabilidad al intercambio de SIM.
2. Si no te molestas en usar un sistema de autenticación distinto de tu número de teléfono:

• Como mínimo, deberías revelar tu número de teléfono al menor número de personas posible y nunca en redes sociales, incluido Linkedin. Además, protege datos personales como el nombre, la dirección y la fecha de nacimiento, que pueden usarse para recuperar tu número de teléfono.
• La mejor estrategia que puedes implementar es tener un SIM dedicado exclusivamente a autenticarte, cuyo número de teléfono correspondiente no se revele a nadie más que a ti.

3. Tokens de hardware: dispositivos físicos como YubiKey ofrecen un medio físico para generar códigos 2FA y son inmunes al SIM swapping.

4. Carteras multifirma: el uso de carteras multifirma añade una capa adicional de seguridad, ya que requiere que varios dispositivos o partes autoricen las transacciones.

5. 2FA en transacciones: en Nefture hemos desarrollado un sistema de 2FA para transacciones que te alerta de cada transacción que realizas, solicita tu validación y te informa de los posibles riesgos asociados a ella.

Mediante algoritmos avanzados que monitorizan las transacciones e identifican posibles riesgos en tiempo real, analiza patrones de transacciones, datos de la blockchain y datos históricos para detectar anomalías, actividades fraudulentas y comportamientos sospechosos, el usuario es**** ****advertido de antemano de los riesgos asociados a cada transacción que desea realizar y puede tomar las medidas adecuadas en tiempo real.

En conclusión, aunque el 2FA refuerza enormemente la seguridad en el ecosistema web3, no se pueden ignorar sus limitaciones ni la amenaza del SIM swapping.

Para garantizar la máxima protección, los usuarios deben adoptar buenas prácticas como usar aplicaciones de autenticación y tokens de hardware.

A medida que web3 sigue evolucionando, nuestras medidas de seguridad también deben evolucionar para contrarrestar las amenazas y vulnerabilidades emergentes.

Resumen

¡Enhorabuena! Has completado el Módulo 4: Mejorar la seguridad en Web3: explorar el 2FA, sus limitaciones y la amenaza del SIM swapping

Repasemos lo que has aprendido:

2FA en Web3: La autenticación de dos factores (2FA) es un método de seguridad que utiliza dos factores de verificación distintos para acceder a una cuenta.

• Tipos:
• Conocimiento (p. ej., contraseña)
• Posesión (p. ej., un smartphone que genera códigos temporales)
• Inherencia (p. ej., huellas dactilares).
• Aplicación: en web3, es común combinar una contraseña con un código dinámico generado por el smartphone.

Exchanges centralizados (CEX) y 2FA: Los CEX usan ampliamente el 2FA. Por ejemplo, Binance tiene su propio “autenticador” mediante un código QR y una clave.

Limitaciones del 2FA:

• Vulnerable a ataques de phishing.
• Dependencia del dispositivo: un dispositivo perdido o que no funcione podría dejar a los usuarios sin acceso.
• Ingeniería social: los atacantes podrían eludir el 2FA mediante tácticas de manipulación.

Intercambio de SIM:

• Amenaza: los atacantes engañan a las operadoras móviles para transferir el número de teléfono de una víctima e interceptar así los códigos 2FA enviados por SMS.
• Impacto: Evitar el 2FA permite el acceso no autorizado a wallets, dApps y cuentas sensibles.
• Incidentes destacados: $23.8 millones robados al inversor Michael Terpin en 2018 y una brecha en el sistema 2FA de Coinbase en 2021 que afectó a 6,000 usuarios.

Este artículo te lo trae: