Enfoque de seguridad de Flipster Exchange: preguntas y respuestas sobre certificaciones de seguridad, recompensas por errores y protección del usuario

En medio de un mercado de criptomonedas volátil y en evolución, los intercambios de criptomonedas enfrentan un adversario mayor, determinado a comprometer los datos y fondos de los usuarios. Esta semana, conversamos con Justin Hong, Director de Seguridad de la Información (CISO) de Flipster, en una entrevista exclusiva. Hong reveló cómo la plataforma de comercio de criptomonedas se fortalece mediante certificaciones, innovación de productos y respuesta en tiempo real a amenazas.

Según Hong, Flipster ha implementado más de 15 actualizaciones de seguridad a nivel de producto solo este año. Estas actualizaciones, junto con su certificación ISO/IEC 27001 y una calificación 'AA' de CER.live, aseguran a los usuarios un entorno de comercio seguro.

Trabajar en Flipster

P: Hola Justin, por favor comienza contándonos un poco sobre ti, tu rol como Director de Seguridad de la Información y por qué es esencial para las empresas de Web3. 

R: He pasado los últimos 16 años en ciberseguridad, con experiencia en banca, fintech y blockchain. Cada espacio presenta sus desafíos y, juntos, han moldeado mi enfoque de la seguridad, especialmente en Web3, donde las apuestas son únicas y altas. El nivel de exposición aquí es sin igual en las finanzas tradicionales. Hay más control por parte del usuario, más innovación y, desafortunadamente, más atención de actores malintencionados.

En Flipster, lidero la función de seguridad global, que abarca desde la gestión de riesgos y el cumplimiento normativo hasta la respuesta a incidentes y la integración de marcos internacionales como ISO/IEC 27001 en nuestras operaciones. Las criptomonedas se mueven rápido y las amenazas evolucionan con la misma rapidez. Construimos teniendo eso en cuenta, pensando siempre en el futuro, no solo reaccionando.

P: ¿Cómo es trabajar en Flipster en el mundo de rápido ritmo y alto riesgo de las plataformas de comercio de criptomonedas?

R: Hay mucho en juego, lo cual es exactamente lo que hace que el trabajo sea tan gratificante. La seguridad en este espacio no es pasiva. Te enfrentas a algunos de los adversarios más creativos y determinados de la tecnología. Esto te mantiene alerta y te obliga a seguir evolucionando.

Lo que más destaca en Flipster es la alineación de todos. La misión es clara: estamos aquí para construir una plataforma de comercio segura y confiable en la que la gente pueda confiar. Se ve ese enfoque en la forma en que trabajamos: colaboración estrecha, ciclos de retroalimentación rápidos y pruebas constantes. 

P: ¿Cómo defines la confianza en Flipster y cómo está trabajando tu equipo para construirla y mantenerla?

R: La confianza se construye con el tiempo a través de la consistencia: ser transparente, claro y responsable. Comunicamos cómo gestionamos el riesgo, protegemos los fondos de los usuarios y respondemos a los incidentes. Si algo sale mal, los usuarios merecen saber qué sucedió y cómo se está abordando.

En el backend, operamos bajo un modelo de confianza cero. Cada sistema y usuario es tratado con el mismo escrutinio, ya sea interno o externo. Esa mentalidad nos ayuda a estar un paso adelante de las amenazas de phishing y otros riesgos internos. Pero la seguridad no puede venir a expensas de la experiencia del usuario. Estamos refinando constantemente las funciones para hacer las cosas más seguras e intuitivas. Cuando estas dos cosas funcionan en armonía, los usuarios no tienen que elegir entre seguridad y usabilidad.

Certificación ISO/IEC 27001 y CER.live de Flipster

P: Las plataformas de criptomonedas se están convirtiendo en un 'caldo de cultivo' de incidentes de seguridad, que en la mayoría de los casos resultan en la pérdida de cantidades sustanciales de dinero. ¿Al trabajar en Flipster, has encontrado algún intento de este tipo y cómo procediste a contenerlo?

R: Hemos visto nuestra parte de incidentes: ataques DDoS, campañas de phishing e intentos de suplantación de identidad, por nombrar algunos. Estas amenazas son reales y constantes.

Toma el DDoS, por ejemplo. Los atacantes han intentado interrumpir nuestra plataforma e incluso han intentado tácticas de secuestro de datos (ransomware). Pero hemos incorporado controles de detección y mitigación en cada capa, y nuestros equipos de respuesta están entrenados para actuar rápido. En escenarios de phishing, actores malintencionados se han hecho pasar por solicitantes de empleo o socios para intentar engañar a nuestro equipo y abrir archivos dañinos. Nuestros sistemas están diseñados para detectar estas amenazas rápidamente y seguimos con un análisis profundo posterior al incidente para endurecer aún más nuestras defensas.

P: Flipster recibió recientemente una certificación AA de CER.live. ¿En qué consiste la certificación y qué significa para los usuarios?

R: Desde 2018, CER.live ha evaluado cientos de exchanges utilizando una metodología rigurosa basada en más de 18 indicadores de seguridad. Es uno de los puntos de referencia independientes más confiables en el sector.

Para los usuarios, este tipo de certificación es una señal clara. Te indica que una tercera parte ha evaluado nuestra plataforma y validado la calidad de nuestra seguridad. Suma esto a nuestra certificación ISO/IEC 27001 y comienzas a ver la imagen de una empresa que se toma la confianza en serio, no solo en lo que dice, sino también en cómo opera.

P: Más allá de la certificación de CER.live, ¿qué prácticas o protocolos de seguridad clave ha implementado recientemente Flipster que los usuarios deberían conocer?

R: Hemos implementado más de 15 funciones de seguridad a nivel de producto este año. Algunas mejoras clave incluyen soporte para claves de paso (passkeys), bloqueos de retiro y listas blancas de direcciones. Cada una brinda a los usuarios más control y añade otra capa de protección.

Siempre recomiendo habilitar tanto las claves de paso como la libreta de direcciones para retiros. Estos pasos simples marcan una gran diferencia. También estamos construyendo nuevas herramientas de gestión de dispositivos que permitirán a los usuarios rastrear y gestionar los dispositivos que acceden a sus cuentas, otra forma en la que les ayudamos a mantener el control.

P: Algunas plataformas han logrado una calificación AAA de CER.live. ¿Es este un objetivo para Flipster? ¿Qué medidas de seguridad están trabajando para llegar allí?

R: Está en nuestro radar y estamos haciendo un progreso constante. Nos estamos enfocando ahora en fortalecer las protecciones del servidor, implementar herramientas anti-phishing y brindar a los usuarios un mayor control a través de funciones mejoradas de gestión de dispositivos.

Al final del día, no estamos persiguiendo insignias, sino persiguiendo lo que realmente mejora la plataforma para nuestros usuarios. Si algo añade valor real y fortalece nuestras defensas, lo construimos. La calificación AAA es un hito, no la línea de meta.

Recompensa por errores (Bug bounty) y más funciones de seguridad

P: ¿Cómo asegura Flipster que los hackers de sombrero blanco sean incentivados de una manera que se alinee con los objetivos de confianza y transparencia a largo plazo del intercambio?

R: Estamos trabajando con Hackenproof en un programa público de recompensas por errores (bug bounty), dando a los investigadores un camino claro y confiable para compartir sus hallazgos con nosotros. Su equipo revisa las presentaciones por impacto y calidad, y proporcionamos recompensas justas basadas en la gravedad.

Más allá de encontrar errores, se trata de involucrar a la comunidad global de seguridad en nuestra misión. Cuando los investigadores saben que su trabajo es valorado y se actúa en consecuencia, es más probable que ayuden a hacer que el ecosistema sea más fuerte. Es una victoria para todos.

P: Como CISO y líder de pensamiento en el sector, ¿qué consejo le darías a otras empresas que trabajan para mejorar sus estándares de seguridad?

R: Primero, haz bien lo básico. La mayoría de las brechas ocurren debido a descuidos básicos: parches faltantes, permisos abiertos, control de acceso débil. Haz eso bien y eliminarás una gran parte de tu riesgo.

Más allá de eso, invierte en tu gente y en tus procesos. Puedes tener todas las herramientas del mundo, pero si tus equipos no están capacitados o tus planes de respuesta a incidentes no se han probado, eres vulnerable. Construye una cultura donde la seguridad sea responsabilidad de todos, no solo del CISO. Ese cambio de mentalidad puede llevar tiempo, pero vale cada esfuerzo.

P: Finalmente, los ataques de ingeniería social también son abundantes en el sector. ¿Qué medidas has implementado para asegurar que los usuarios estén protegidos, o más bien, informados sobre los intentos de comprometer sus cuentas?

R: Consideramos la ingeniería social en dos categorías: toma de cuentas y transferencias fraudulentas. Primero, hemos incorporado protecciones sólidas como claves de paso, autenticación de dos factores (2FA), alertas de inicio de sesión en tiempo real y listas blancas de direcciones. Pronto, también añadiremos la gestión de dispositivos.

La educación del usuario juega un gran papel en la prevención del fraude. Compartimos actualizaciones de seguridad regulares y estamos desarrollando herramientas que señalan direcciones sospechosas o conocidas como estafas. El objetivo es brindar a los usuarios tanto el conocimiento como las herramientas para mantenerse seguros. Un usuario bien informado es una de las mejores líneas de defensa.