Crypto.com no encubrió el hackeo de 2023, el CEO refuta las afirmaciones de ZachXBT

Un adolescente y sus cómplices tomaron el control de la cuenta de empleado de la empresa de intercambio de criptomonedas Crypto․com en 2023, algo que el investigador de blockchain ZachXBT acusó a la empresa de ocultar. 

En respuesta a la publicación de la plataforma de intercambio del sábado, ZachXBT afirmó que la plataforma había sido comprometida varias veces, pero que supuestamente "encubrió una brecha que afectó la información personal de los usuarios".

CEO de Crypto.com: No encubrimos una violación pública

El director ejecutivo, Kris Marszalek, respondió el lunes a las acusaciones de ZachXBT, calificándolas de "totalmente infundadas". En una publicación en X, escribió que la compañía no omitió revelar una brecha de seguridad y que había presentado un "Aviso dedentseguridad de datos" ante los reguladores.

Quiero abordar de forma directa y clara cierta información errónea que se está difundiendo desde fuentes no informadas...
Cualquier sugerencia de que no informamos o divulgamos un incidente de seguridaddentdentdent dentdentdentdent dentdent en información adicional...

– Kris (@kris) 22 de septiembre de 2025

Según Marszalek, eldent de 2023 involucró una campaña de phishing dirigida a un empleado, pero que fue contenida en cuestión de horas. 

“No se accedió ni se puso en riesgo ningún fondo de nuestros clientes, y esto afectó a un número extremadamente limitado de la información personal identificable (PII) parcial de nuestros usuarios. Nuestros sistemas han sido probados en campo y se mejoran continuamente; nos enorgullecemos de nuestra cultura de seguridad prioritaria y de contar con la mayor cantidad de certificaciones de seguridad de cualquier empresa del sector”, afirmó Marszalek.

Pero después de su respuesta, ZachXBT le pidió al CEO que compartiera una URL de dónde se divulgaron públicamente los incidentesdenttal como lo hicieron Coinbase y Gemini a principios de este año con sus infracciones.

“Dado que el CEO de Crypto.com, Kris, me bloqueó, no puedo responder a su publicación y solo responderé aquí… Los saldos de usuarios, nombres, correos electrónicos y números de teléfono filtrados de otrosdentson un poco más que solo 'PII parcial'”, respondió el investigador. 

En julio, ZachXBT acusó a la compañía de uso de información privilegiada, por quemar 70 mil millones de tokens CRO en 2021, solo para volver a emitir la misma cantidad en 2023 a través de una votación de gobernanza en la que los validadores vinculados al intercambio controlaron la mayor parte del resultado.

«Recuerden, también imprimieron más tokens de la nada. Esto es muy sospechoso», comentó un usuario sobre las acusaciones. Crypto.com no ha respondido a estas afirmaciones y sigue forjando alianzas, incluyendo una con Trump Media para crear una tesorería de activos digitales para CRO.

El hacker adolescente detrás de la violación de Crypto.com

Según las investigaciones de Bloomberg, los autores formaban parte del colectivo Scattered Spider, entre ellos un joven de 18 años de Florida llamado Noah Urban. 

Urban admitió haber participado en una de las redes de delitos cibernéticos más destructivas del mundo, que en 2023 orquestó un ataque a MGM Resorts International que causó daños por 100 millones de dólares y otro al minorista británico Marks & Spencer por alrededor de 400 millones de dólares.

Con la ayuda de otro hacker conocido simplemente como Jack, el adolescente habría utilizado técnicas de ingeniería social para hacerse pasar por personal y “logró” acceder a la cuenta de un empleado de Crypto.com, junto con los sistemas de United Parcel Service, para recopilar datos personales. 

UPS confirmó posteriormente que había corregido la vulnerabilidad, pero se negó a proporcionar detalles al respecto. En el caso de Crypto․com, un portavoz de la compañía afirmó que el incidente solo afectó a un número muy reducido de personas y que los fondos de ningún cliente se vieron comprometidos.

Noah Urban fue sentenciado a prisión

El camino de Noah Urban hacia el ciberdelito comenzó a los 15 años en las comunidades de juegos de Minecraft, donde aprendió técnicas de intercambio de SIM que requerían poca experiencia técnica. 

Según Bloomberg, Urban tenía una voz profunda, inusual para su edad; solía hacerse pasar por personal de telecomunicaciones y engañar a los empleados para que compartieran sus números de teléfono.

“Hola, mi nombre es Kevin y llamo desde la gerencia de seguridad interna de T-Mobile”, decía uno de los guiones que el entonces adolescente estaba usando para sus tácticas de ingeniería social. 

Como se revela en el artículo de investigación, ganó $50 por cada llamada exitosa, llegando incluso a acumular $3,000 en una sola semana mientras sus amigos jugadores escuchaban su canal de Discord.