12:48 UTC
Stake es, por la mayoría de las medidas, el casino cripto más grande del mundo, y el 4 de septiembre de 2023 su hot wallet de Ethereum hizo lo que los hot wallets hacen cincuenta mil veces al día: firmó una transferencia. Esta envió aproximadamente $3,9 millones de USDT a una dirección que ninguna persona de la compañía controlaba. Dos transferencias más siguieron en cuestión de minutos, moviendo más de 6.000 ETH — aproximadamente $9,8 millones en ese momento — y luego una serie de transferencias más pequeñas vaciando los stablecoins y tokens que quedaban: USDC, DAI, y en otras dos cadenas, BNB y MATIC.
Los analistas que monitorizan las cadenas lo notaron antes de que el casino anunciara nada. La estimación inicial de PeckShield, cubriendo solo Ethereum, fue de $15,7 millones; ZachXBT señaló que el mismo actor había drenado aproximadamente $25,6 millones más de los wallets de Stake en BNB Chain y Polygon; el total reconciliado de Beosin fue de $41,35 millones. Etherscan etiquetó la dirección receptora como "Stake.com Hacker" mientras las transferencias aún estaban llegando.
| CADENA | PÉRDIDA APROX. |
|---|---|
| Ethereum (ETH, USDT, USDC, DAI) | $15,7 millones |
| BNB Chain (BNB) | $17,8 millones |
| Polygon (MATIC) | $7,8 millones |
| Total | $41,35 millones |
Los wallets de Bitcoin, Litecoin, XRP, EOS y TRON no fueron afectados. Las cifras son precios del 4 de septiembre de 2023 según lo reportado por las empresas de rastreo.
Qué fue tocado, y qué no
El primer post público de Stake dijo que transacciones no autorizadas se habían realizado desde sus hot wallets de ETH y BSC, que los wallets estaban siendo investigados, y que los fondos de los usuarios estaban seguros. Los depósitos y retiros en las tres cadenas afectadas fueron pausados; todo lo demás continuó funcionando. A las 21:28 UTC la compañía anunció que todos los servicios habían reanudado — menos de nueve horas después de la primera transferencia, y algunas horas después del reconocimiento público.
El cofundador Ed Craven describió el ataque como una brecha sofisticada de un servicio que el casino usaba para autorizar transacciones, y dijo que las claves privadas no fueron comprometidas — el atacante había podido hacer "varias transacciones no autorizadas" desde los hot wallets en lugar de tomar los wallets mismos. Varios investigadores de seguridad no estuvieron de acuerdo en público: para ellos, un extraño firmando transferencias válidas desde tu dirección es la definición de un compromiso de clave, sin importar en qué estaba envuelta la clave. La disputa es menos sobre hechos que sobre vocabulario. Un servicio de firma tiene, o puede alcanzar, la autoridad para gastar; quienquiera que controle el servicio controla el dinero, y por aproximadamente diez minutos alguien más lo hizo.
- No tocado: los juegos. Ninguna seed fue filtrada, ningún resultado fue alterado, ninguna apuesta fue pagada incorrectamente. Cada ronda jugada ese día verifica hoy exactamente como lo hizo entonces.
- No tocado: el cold storage. Los saldos de Bitcoin, Litecoin y XRP — la mayor parte del float de un casino — estaban en otro lugar y nunca se movieron.
- Tocado: el float operacional. El dinero que un casino mantiene caliente para que los retiros se procesen en minutos. $41 millones es un saldo caliente grande; también es una fracción de lo que un sitio de ese tamaño mueve en un día, razón por la cual el casino pudo absorberlo y pagar retiros como si nada hubiera pasado.
Días después, un nombre
La atribución fue más rápida de lo habitual. En menos de una semana, el FBI dijo que su investigación había revelado que actores cibernéticos de Corea del Norte —el Lazarus Group, al que también rastrea como APT38— habían movido los fondos robados de las carteras Ethereum, BNB Chain y Polygon de Stake, y publicó las direcciones que el grupo estaba usando para que los exchanges rechazaran el dinero. El mismo boletín situó el botín del grupo en 2023 en más de $200 millones: aproximadamente $100 millones de Atomic Wallet en junio, $60 millones de Alphapo y $37 millones de CoinsPaid en julio, y ahora Stake.
El blanqueo siguió el patrón que el grupo ha usado desde el robo del puente Ronin hace un año: fondos transferidos de cadena a cadena, consolidados en Avalanche, intercambiados por bitcoin envuelto y luego por bitcoin nativo, donde el rastreo se vuelve más difícil y los mixers sancionados hacen el resto. Ninguno de los $41 millones ha sido recuperado, y ninguno era esperado que lo fuera. Un casino hackeado por un estado no recupera su dinero; recibe un comunicado de prensa.
La investigación del FBI reveló que actores cibernéticos de Corea del Norte movieron fondos robados asociados con las redes Ethereum, Binance Smart Chain y Polygon desde Stake.com.Aviso de servicio público del FBI, septiembre de 2023
Dos promesas, y solo una de ellas es verificable
Stake fue uno de los sitios que hizo que "provably fair" fuera un estándar, y sus juegos fueron provably fair el 4 de septiembre de 2023 por la mañana, durante el robo y después de él. Eso no es ironía; es la lección. Un sistema provably fair hace una promesa: el resultado de cada ronda se fija mediante una semilla comprometida antes de que apuestes, y puedes recomputarla después. Lo que un compromiso de hash prueba es exactamente eso y nada más. No dice nada sobre quién puede gastar el saldo que ganaste.
La custodia es una segunda promesa, hecha en un idioma diferente. Es una declaración sobre claves, servicios de firma, ratios de almacenamiento en frío y las personas y software permitidas para tocarlo — y nada de ello puede ser verificado desde afuera por un jugador, porque un casino que publicara su arquitectura de firma estaría publicando un mapa para el próximo Lazarus. Lo mejor que un sitio puede hacer es comportarse bien cuando se prueba, como hizo Stake: decir qué pasó, seguir pagando, y no tocar lo único que era verificable.
Betkyo publica la derivación de cada juego y el verificador que recomputa cada ronda. No publica cómo están codificadas sus carteras, dónde se encuentra su float o qué autoriza un retiro, y no lo hará, por la razón anterior. La custodia de ningún casino es "verificable"; trata las reclamaciones en contrario como marketing.
Lo que un jugador puede hacer es aritmética, no criptografía. Un saldo dejado en cualquier sitio es un préstamo a su cartera caliente. Mantén en el sitio lo que pretendes jugar, retira lo que no, y lee qué verifica la ventana de retiro antes de enviar para que una pausa parezca lo que usualmente es — una verificación — en lugar de un robo. Las semillas que puedes verificar. La bóveda que solo puedes dimensionar.
Preguntas frecuentes
¿Cuánto fue robado en el hack de Stake?
Aproximadamente $41 millones, según la reconciliación de Beosin: aproximadamente $15,7 millones en Ethereum, $17,8 millones en BNB Chain y $7,8 millones en Polygon, drenados de carteras calientes el 4 de septiembre de 2023 a partir de las 12:48 UTC.
¿Quién hackeó Stake?
El FBI atribuyó el robo al Lazarus Group (APT38), una unidad cibernética estatal de Corea del Norte, en cuestión de días después del ataque, y publicó las direcciones que el grupo utilizó. El FBI vinculó al mismo grupo con más de $200 millones en robos de criptografía en 2023, incluyendo Atomic Wallet, Alphapo y CoinsPaid.
¿Se perdieron los fondos de los usuarios de Stake?
Stake dijo que los fondos de los usuarios estaban seguros, pausó depósitos y retiros en las tres cadenas afectadas, e informó que todos los servicios fueron restaurados a las 21:28 UTC el mismo día. Las carteras de Bitcoin, Litecoin, XRP, EOS y TRON no fueron afectadas. La pérdida fue absorbida por la empresa.
¿Fueron comprometidos los juegos o el sistema provably fair?
No. La brecha fue en un servicio usado para autorizar transacciones de cartera caliente, no en los motores de juego o sus semillas. Cada ronda siguió siendo verificable. Provably fair prueba resultados de juegos; no dice nada sobre la custodia de fondos.
¿Cómo puede un jugador protegerse contra un hack de casino?
No puedes verificar la custodia de un casino desde afuera, así que dimensiona tu exposición en su lugar: mantén en el sitio lo que tienes intención de jugar, retira el resto, y comprende los controles de retiro del sitio para que una pausa rutinaria no se confunda con un robo.
FUENTES Y REFERENCIAS
- Cointelegraph — “Crypto casino Stake resumes services hours after hack” (4–5 September 2023): the 12:48 UTC first transfer, the ETH and USDT amounts, the 21:28 UTC restoration, Beosin/PeckShield/ZachXBT estimates
- DL News — “Stake co-founder says hacker did not compromise private keys” (September 2023): Ed Craven’s account of the transaction-authorisation service, the ~50,000 transactions a day figure, researchers’ disagreement
- SecurityWeek — “FBI Blames North Korean Hackers for $41 Million Stake.com Heist” (11 September 2023): the FBI attribution to Lazarus, the networks named, the 2023 thefts list
- Blockworks — “FBI blames North Korea’s Lazarus Group for $40M Stake hack”: the Avalanche bridge and wrapped-to-native bitcoin laundering path
LOS JUEGOS EN ESTE ARTÍCULO
Dice — reglas y juego gratis →Crash — reglas y juego gratis →