Mantenerse a la vanguardia frente a las amenazas emergentes: el compromiso de BitGo con la seguridad

Lea la versión traducida al japonés de este blog. aquí.

En BitGo, la seguridad es la base de todo lo que hacemos. Con una larga trayectoria como custodios seguros, nunca hemos perdido fondos de clientes en esa configuración. A medida que evoluciona el ecosistema de activos digitales, también lo hacen las amenazas a las que nos enfrentamos. Los atacantes siguen desarrollando tácticas más sofisticadas, y es nuestra responsabilidad, así como la de toda la industria, adelantarnos a estas amenazas.

Amenazas en evolución en los activos digitales

Recientemente, hemos observado un aumento de los ataques dirigidos en el ámbito de los activos digitales. Algunos incidentes destacados han puesto de manifiesto un vector de ataque común: un adversario que activa solicitudes de transacciones no deseadas que superan los controles de seguridad. El FBI se ha pronunciado públicamente sobre este tipo de amenazas, reforzando la necesidad de mantener una vigilancia constante.

BitGo supervisa activamente los cambios en las tácticas de ataque. A través de rigurosas revisiones internas, hemos confirmado que nuestra arquitectura de seguridad no permite vectores de ataque similares. Sin embargo, no confiamos únicamente en nuestra propia experiencia. Mantenemos sólidas relaciones de trabajo con las fuerzas del orden y gestionamos un programa público de recompensa por errores, en el que animamos a los investigadores de seguridad a identificar y notificar vulnerabilidades. En respuesta a las amenazas emergentes, hemos mejorado aún más la seguridad de nuestro portal, minimizando incluso los riesgos teóricos, incluidos los que plantean los empleados malintencionados.

Pruebas y validación independientes de seguridad

Más allá de las medidas de seguridad internas, contratamos continuamente a expertos externos para validar nuestras prácticas. Además de las pruebas de penetración rutinarias, hemos contratado a una empresa de seguridad externa para que realice una evaluación independiente de nuestro proceso de firma de transacciones. Sus conclusiones han sido tranquilizadoras: no se han descubierto vulnerabilidades importantes que sean motivo de preocupación.

Además, realizamos pruebas periódicas y totalmente independientes con equipos rojos. El año pasado, dimos un paso más: se proporcionó a un equipo rojo externo un ordenador portátil y se le concedió acceso de administrador con privilegios elevados a nuestro entorno, incluido GitHub. Durante su reconocimiento inicial, nuestros sistemas de supervisión detectaron y bloquearon sus actividades. A pesar de los continuos intentos durante varios meses, su ataque final a nuestro entorno de producción fue detectado en cuestión de minutos y frustrado. Esto demuestra la solidez de nuestra postura de seguridad, que protege incluso contra personas internas con credenciales elevadas.

Un enfoque de seguridad multicapa

En BitGo, la seguridad no es solo una cuestión de tecnología, sino también de cultura. Implementamos una estrategia de defensa multicapa para mitigar los riesgos en todos los niveles:

• Concienciación y formación en materia de seguridad: Los empleados reciben pruebas mensuales de phishing y se realiza un seguimiento de cualquier fallo. Esto garantiza una vigilancia continua contra los ataques de ingeniería social.

• Seguridad de terminales y redes: Aplicamos restricciones estrictas a los dispositivos, empleamos soluciones antimalware y evitamos el uso de contraseñas almacenadas en el navegador. Los intentos de secuestro de sesión se enfrentan a barreras adicionales gracias a nuestra autenticación de dos factores (2FA) obligatoria basada en hardware.

• Monitoreo continuo: Se supervisa activamente cada aspecto de nuestro entorno, desde el uso de SaaS hasta el tráfico DNS de los puntos finales. Cualquier actividad inusual se investiga de inmediato.

• Controles de acceso: Aplicamos el acceso con privilegios mínimos, ajustamos continuamente los permisos y exigimos el uso de dispositivos emitidos por BitGo para todas las interacciones internas del sistema.

• Seguridad física: Los empleados deben trabajar desde la oficina para la verificación de identidad, lo que reduce aún más los riesgos relacionados con los compromisos remotos.

Estas medidas se ajustan a las mejores prácticas del sector, incluyendo el marco MITRE ATT&CK, las directrices normativas y las principales normas de seguridad. Al perfeccionar continuamente nuestra postura de seguridad, nos aseguramos de que nuestras defensas sigan siendo sólidas frente a un panorama de amenazas en constante cambio.

Nuestro compromiso continuo

BitGo se ha ganado una reputación por proteger los activos de sus clientes, y seguimos firmes en nuestro compromiso con la seguridad. Lo conseguimos gracias a una combinación de experiencia interna, validación externa y un enfoque proactivo ante las amenazas emergentes. La seguridad es una responsabilidad compartida y, trabajando juntos, podemos seguir ofreciendo el máximo nivel de protección a nuestros clientes.

Seguiremos siendo vigilantes, adaptables y transparentes en nuestras prácticas de seguridad, porque proteger los activos digitales no es solo nuestro negocio, es nuestra misión.