Gate ha puesto en marcha Gate Security Academy, una serie dedicada a la seguridad de los activos digitales. En su primera entrega, el equipo de seguridad del exchange y la firma de seguridad blockchain CertiK analizaron cómo proteger grandes carteras de criptoactivos. Su conclusión: salvaguardar las claves privadas es solo una parte de la custodia. Las aprobaciones de operaciones, los permisos de acceso, las herramientas externas, los planes de recuperación y los procedimientos diarios deben funcionar de forma coordinada; una brecha en cualquier etapa puede debilitar el resto de los controles.
Los riesgos institucionales van más allá del robo de claves
Para quienes utilizan una cartera personal, la seguridad suele centrarse en proteger las claves privadas y las frases semilla, detectar intentos de phishing y verificar las operaciones. Las instituciones, además, deben coordinar los permisos de empleados, sistemas y proveedores externos, sin descuidar la custodia, la continuidad del negocio ni el cumplimiento normativo. A medida que crece el volumen de activos, una debilidad operativa menor puede tener consecuencias más graves.
Entre los riesgos habituales figuran la concentración excesiva de permisos, las diferencias entre una operación aprobada y la que finalmente se ejecuta, la vulneración de dispositivos o software de terceros, la colusión entre empleados y los errores operativos. Al investigar un incidente, una entidad debe averiguar no solo si se sustrajo una clave, sino también cómo obtuvo acceso el atacante o cómo logró que un sistema firmara una operación maliciosa.
CertiK citó un incidente de 2025 en el que se comprometió la interfaz de una cartera Safe. Los firmantes vieron lo que parecía una transferencia rutinaria, pero la operación que autorizaron sustituyó el contrato de implementación de la cartera y permitió el robo de activos. El caso muestra que varias firmas no bastan por sí solas: quienes autorizan una operación deben ver la misma transacción que se aprobará y ejecutará.
El equipo de seguridad de Gate agrupa las amenazas institucionales en tres categorías: herramientas, personas y procesos. El software de código abierto manipulado, los servicios en la nube o las herramientas de desarrollo pueden exponer las carteras. Entre los riesgos relacionados con el personal están la suplantación de identidad, el uso indebido de privilegios y la demora en revocar permisos cuando alguien deja la empresa. Los atacantes también pueden estudiar durante un tiempo la infraestructura tecnológica de una compañía y dirigirse a empleados con acceso. En los procesos, las brechas incluyen saltarse aprobaciones en una emergencia, mantener permisos temporales activos, utilizar datos reales en entornos de prueba y exponer herramientas internas a internet por comodidad.
Multisig y MPC necesitan controles independientes
Las carteras multifirma exigen autorización de varias claves y limitan el impacto de que una sola quede comprometida. La computación multipartita (MPC) distribuye la capacidad de firma entre distintas partes, en lugar de almacenar o utilizar una clave privada completa en un único lugar. Los procedimientos internos de aprobación responden a otra cuestión: si la operación tiene una finalidad empresarial legítima.
CertiK señaló que las instituciones deben comprobar que estos controles sean realmente independientes. Si varias claves están bajo el control del mismo equipo o grupo de administradores, la descentralización aparente puede ocultar una autoridad concentrada. Además, si la operación que aparece en pantalla no coincide con la que recibe el sistema de firma, el proceso de aprobación puede no impedir una transferencia no autorizada.
En su análisis técnico del incidente de Gnosis Pay, CertiK detectó un fallo en un módulo de validación de autorizaciones que permitió que una operación no autorizada superara la verificación. El caso subraya que las revisiones deben abarcar más que las claves privadas y los algoritmos de firma: también son relevantes las comprobaciones de identidad, la validación de transacciones, los cambios de permisos y los procedimientos de recuperación.
Gate afirmó que mantiene la mayor parte de sus activos en carteras frías multifirma, fuera de línea y aisladas de la red. Sus carteras calientes combinan multisig y MPC y tienen límites de saldo; los fondos que superan esos límites se trasladan a almacenamiento en frío. Gate Vault, su servicio de custodia para clientes institucionales, utiliza MPC con un esquema de firma 2 de 3. Las tres participaciones de la clave están en el dispositivo del usuario, Gate y un tercero independiente; se necesitan dos de las tres partes para completar una operación. Cada retirada de Gate Vault tiene además un periodo de espera de 48 horas, durante el cual el usuario puede congelarla si detecta una transacción sospechosa o errónea.
Aprobaciones de operaciones y permisos de cuenta
CertiK recomienda mantener una cadena continua de controles para cada operación. Al iniciarla, la institución debe verificar la finalidad empresarial, la contraparte, la dirección de destino y el importe. Durante la aprobación, debe confirmar que la transacción revisada coincide con la enviada para su firma. Los procedimientos de firma y custodia han de proteger las claves, los dispositivos y los derechos de acceso. Tras la ejecución, los equipos deben vigilar las operaciones inusuales y conciliar los registros en cadena con las cuentas internas. Cada etapa debe tener un responsable y dejar registros que puedan verificarse de forma independiente.
Algunos riesgos importantes no transfieren activos directamente, pero pueden alterar quién tiene el control. Entre ellos están cambiar una lista blanca de retiradas, elevar los límites de transacción, sustituir firmantes o actualizar el software de una cartera. Las instituciones también deberían probar periódicamente sus planes de recuperación. Si se marcha personal clave, falla un dispositivo o deja de estar disponible un proveedor, la organización debe poder recuperar el control con autorización de varias personas, sin convertir la recuperación en una vía para eludir los permisos habituales.
Gate indicó que su plataforma permite establecer distintos niveles de permisos en cuentas principales y subcuentas, incluidos derechos de consulta, negociación y aprobación. Las subcuentas de custodia para gestores de activos permiten que los equipos delegados ejecuten estrategias acordadas, pero no les conceden facultades de retirada. Durante el periodo de delegación, los inversores no pueden crear claves API para automatizar operaciones ni consultar las posiciones, órdenes abiertas o el historial de negociación del equipo. Gate también señaló que sus claves API pueden tener permisos separados de lectura, negociación y retirada. Como la negociación institucional suele estar automatizada, separar estas facultades es una parte central de la gestión de cuentas.
Prueba de reservas y controles regulatorios
CertiK explicó que, al evaluar plataformas, los reguladores examinan la custodia de los activos de los clientes, la conciliación de cuentas, la gestión de accesos, las medidas contra el blanqueo de capitales y la respuesta ante incidentes. Los sistemas de monedas digitales de bancos centrales también deben verificar la integridad de la emisión y de los registros contables, la continuidad de los pagos y la recuperación correcta tras un fallo. La firma afirmó haber firmado un memorando de entendimiento con el Banco Nacional de la República Kirguisa para explorar evaluaciones de seguridad del som digital, verificación formal, ciberseguridad y resiliencia operativa, así como regulación de activos digitales, controles contra el blanqueo de capitales y custodia.
El equipo de seguridad de Gate añadió que las evaluaciones de una plataforma deben comprobar si los activos de los clientes están separados de los fondos de la empresa y si es posible acreditar su titularidad cuando surge un problema. Gate señaló que su sistema de prueba de reservas combina árboles de Merkle y pruebas de conocimiento cero, de modo que los usuarios pueden verificar que sus activos están incluidos en las reservas sin revelar información personal.
Las últimas cifras comunicadas por Gate sitúan las reservas totales en 8.688 millones de dólares, con un coeficiente global de reservas del 118,49%. Las reservas de bitcoin ascendían a 25.727 BTC, con un coeficiente del 121,60%; las de Ethereum, a 449.042 ETH, con un coeficiente del 123,78%. Un ratio superior al 100% indica que las reservas declaradas de los activos correspondientes superan los saldos de clientes asociados.
Al evaluar un exchange, CertiK recomienda a las instituciones comprobar qué servicios, sistemas y versiones de software cubren las auditorías de seguridad, si se han corregido las vulnerabilidades detectadas y quién puede mover activos o modificar permisos críticos. Para los servicios de custodia, también conviene revisar el control de claves, la conciliación de activos, las copias de seguridad y los mecanismos de recuperación, además de la dependencia de terceros. CertiK indicó que su servicio Skynet reúne señales dentro y fuera de la cadena y actualiza las puntuaciones de seguridad con el tiempo. La descripción disponible señala que la puntuación abarca seis dimensiones, aunque no las detalla por completo.