Analistas de SlowMist suenan la alarma sobre vulnerabilidades en un exchange de volumen diario de 3.700 millones de $

La firma de seguridad blockchain SlowMist ha señalado dos exchanges de criptomonedas que han identificado con vulnerabilidades graves que afectan la seguridad de los fondos en sus respectivas plataformas. 

El fundador de SlowMist, que utiliza el seudónimo Evilcos, expresó su frustración por la falta de respuesta. 

“Los exchanges desconocidos son realmente poco confiables”, escribió en X. “Nuestro equipo de seguridad descubrió vulnerabilidades graves en dos exchanges (que impactan directamente la seguridad de los fondos), pero no pudimos contactar a nadie, e incluso las menciones públicas no recibieron respuesta.”

Los exchanges en cuestión manejan volúmenes de negociación diarios significativos, con uno teniendo un volumen de negociación de 24 horas de 3.700 millones de $, mientras que el otro maneja alrededor de 240 millones de $, según Evilcos.

Intentos de divulgación rechazados

SlowMist emitió avisos de seguridad a Seychelles-registered Azbit y exchange turco ICRYPEX Global el 16 de diciembre y el 17 de diciembre, respectivamente. La firma también afirmó haber intentado contactar a ambas plataformas a través de mensajes directos y publicaciones públicas, siguiendo las prácticas estándar de divulgación responsable, pero no recibió ninguna confirmación.

ICRYPEX, que fue establecido en 2018 y posee licencias de proveedor de servicios de activos virtuales en dos países de la Unión Europea, informa que sirve a millones de usuarios en más de 30 países.

Azbit fue lanzado a finales de 2019 y opera en Seychelles; sin embargo, a principios de este año, el regulador en Seychelles declaró que “la empresa no tiene, ni ha tenido ninguna autorización para operar bajo la Ley de Proveedores de Servicios de Activos Virtuales de 2024, y es simplemente una compañía de negocios internacional (“IBC”) constituida bajo la Ley de IBC.”

La falta de contacto llevó a SlowMist a tomar la medida inusual de divulgar públicamente los descubrimientos de vulnerabilidad antes de la resolución, lo cual es un poco preocupante, aunque uno podría asumir que los respectivos exchanges ya están trabajando en ellos. 

Sin embargo, una dirección pública o el reconocimiento de los hallazgos de SlowMist iría un largo camino para calmar a sus clientes.

Preocupaciones de seguridad en toda la industria

El incidente ocurre en un contexto de desafíos de seguridad persistentes en todo el sector de las criptomonedas. El informe de seguridad anual de 2024 de SlowMist documentó 410 incidentes de seguridad que resultaron en pérdidas de más de 2.013 millones de $.

La firma de ciberseguridad Contratos inteligentes auditados por CertiK compartió que los exchanges de criptomonedas perdieron más de 29 millones de $ en noviembre de 2025, ocupando el segundo lugar en la lista de pérdidas por tipo después de las finanzas descentralizadas (DeFi).

Las mejores prácticas recomiendan que los desarrolladores de criptomonedas establezcan puntos de contacto para informar problemas de seguridad, incluidas claves públicas a largo plazo para una comunicación segura.

¿Llegarán los exchanges a contactar?

La experiencia de SlowMist al intentar contactar y no recibir ninguna respuesta, aunque no es única, muestra que incluso los exchanges establecidos con bases de usuarios considerables pueden carecer de canales adecuados para recibir inteligencia de seguridad crítica.

Esto también plantea preguntas sobre la preparación de los exchanges de criptomonedas para abordar rápidamente las divulgaciones de vulnerabilidades.

SlowMist ha trabajado con grandes exchanges, incluyendo Binance, OKX, HTX y Crypto.com, lo que brinda credibilidad a sus evaluaciones de seguridad y a la solución de las brechas que encuentran.

El mes pasado, Cryptopolitan informó que la firma SlowMist lideró una investigación que descubrió vulnerabilidades en NOFX AI, un sistema de trading de futuros de criptomonedas de código abierto construido sobre la arquitectura de modelos de lenguaje grandes de DeepSeek y Qwen, y también compartió recomendaciones sobre cómo se podría resolver el problema. 

Las pautas de la industria para la divulgación responsable generalmente recomiendan que las partes afectadas respondan dentro de dos días hábiles del contacto inicial. Si no se recibe respuesta después de múltiples intentos, los investigadores de seguridad a menudo establecen una divulgación pública del asunto para garantizar la transparencia, especialmente cuando se involucran fondos.

Ni ICRYPEX ni Azbit habían respondido a los avisos de seguridad ni emitido declaraciones públicas sobre las vulnerabilidades hasta la fecha de esta publicación.