Supervisores de la Reserva Federal y de la Oficina del Contralor de la Moneda (OCC) comenzaron esta semana a llamar a los bancos de EE. UU. para verificar si sus sistemas mostraban señales de compromiso tras el hackeo de $6,300 millones a Binance. El contacto comenzó el lunes 2 de noviembre, el mismo día en que entró en vigor una nueva regla de la OCC y la Corporación Federal de Seguro de Depósitos (FDIC) que reduce los casos en los que los examinadores pueden obligar a los bancos a corregir fallas de ciberseguridad.

Los reguladores revisan los sistemas bancarios en busca de vulnerabilidades

Ese mismo día, los supervisores de la Reserva Federal y la OCC comenzaron a llamar a los bancos para preguntar si habían experimentado interrupciones de servicio o algo fuera de lo común en sus sistemas. Varias personas familiarizadas con el contacto describieron las llamadas a Reuters.

Un banco que recibió una llamada reportó ninguna interrupción. Su personal había preparado puntos de conversación para usar con los clientes, pero finalmente solo respondió unas pocas preguntas. Binance dijo que no sabía nada de los intercambios entre banqueros y reguladores, pero afirmó que mantiene informados a los reguladores de todo el mundo sobre la brecha de seguridad.

Nueva regla eleva el estándar para la corrección obligatoria

La regla, adoptada por la OCC y la FDIC el 27 de agosto y publicada en el Registro Federal el 1 de septiembre, entró en vigor el 2 de noviembre. Establece, por primera vez en la regulación, qué se considera una "práctica insegura o insólida", según la FDIC, y dificulta emitir un asunto que requiera atención (MRA), la notificación formal por escrito que los examinadores usan para indicar a un banco que debe corregir un problema.

Bajo el nuevo estándar, los examinadores deben vincular la debilidad con un probable daño grave a las finanzas del banco o con una infracción real de la ley. Los problemas que no cumplen ese criterio se convierten en observaciones de supervisión, que no incluyen un plan de acción, no se registran como hallazgos formales y no tienen que compartirse con la junta directiva.

La Reserva Federal no firmó la regla, por lo que los bancos que supervisa no están cubiertos; la Fed ha perseguido en cambio un estándar similar mediante políticas internas. La OCC conservó un poder separado para obligar a los bancos a corregir debilidades graves de seguridad incluso cuando no existe vínculo con las finanzas del banco, mientras que la FDIC dijo que usaría ese poder solo en raras ocasiones y solo bajo el mismo estándar estricto. La división se remonta a la estructura de la supervisión bancaria de EE. UU.: la OCC autoriza y supervisa los bancos nacionales, la Fed supervisa los bancos miembros estatales y las sociedades tenedoras de bancos, y la FDIC supervisa los bancos con licencia estatal que no son miembros de la Fed, de modo que el mismo tipo de debilidad de ciberseguridad puede quedar bajo regímenes distintos según quién supervise a cada banco.

Los bancos examinan sus propias defensas

Según se informa, los bancos han estado analizando a fondo el hackeo de Binance y ejecutando diagnósticos en sus propios sistemas para determinar si podrían resistir un ataque similar. En cuestión de horas tras el robo, un equipo de seguridad de uno de los bancos más grandes de EE. UU. contactó a sus homólogos en Binance. El equipo está elaborando ahora un informe interno que, según una fuente, podría llevar a una revisión de los sistemas del banco y a posibles actualizaciones de ciberseguridad. La velocidad con la que mejoran los modelos de IA dificulta que los bancos se mantengan por delante de los atacantes, y según se informa los bancos han comenzado a destinar recursos a revisiones y parches de código.

Cómo se desarrolló el hackeo de $6,300 millones a Binance

Cryptopolitan informó previamente que aproximadamente $6,300 millones fueron drenados del exchange en el incidente del 29 de octubre, considerado el robo de criptomonedas más grande registrado. En su informe de incidente, Binance dijo que el ataque comenzó en junio, cuando un ingeniero de billeteras instaló una herramienta de codificación de IA adulterada, y escaló en septiembre después de que un segundo ingeniero descargara código malicioso tras una entrevista de trabajo falsa. Ambos puntos de entrada, una herramienta de desarrollo comprometida y malware entregado mediante un proceso de contratación fraudulento, encajan en categorías de intrusión bien documentadas: compromiso de la cadena de suministro de software e ingeniería social. Los atacantes luego usaron una herramienta interna de IA con credenciales robadas para acceder a las billeteras del exchange, según el reporte anterior de Cryptopolitan.

El FBI atribuyó el ataque al grupo TraderTraitor de Corea del Norte en una alerta del 31 de octubre, afirmación que Pyongyang rechazó. El co-CEO de Binance, Richard Teng, dijo que el exchange había repuesto aproximadamente el 95% de los fondos robados con sus propias reservas y que seguía siendo financieramente sólido. De aquí en adelante, los puntos inmediatos a vigilar son las actualizaciones continuas de Binance a los reguladores de todo el mundo, que según la empresa continúan, y los resultados de los diagnósticos e informes internos que los bancos han iniciado en respuesta al robo.