Topic: Chivo Wallet una realidad | El Salvador (Read 1449 times)

El asunto de este tipo de cosas o situaciones es que no hay auditoría externa, está la parte que dice lo tengo, luego la otra que dice, no. Entonces una auditoría externa pudiera corroborar los hechos, pero si no hubo una antes, creo que cualquier dato a estás alturas es manipulable al interés de las partes.

En ese sentido incluso en su momento el FMI pidió que Chivo Wallet fuera auditada. El Salvador pidió un préstamo por aquellos años para iniciar actividades, pero parte de ese dinero era para empresas afectadas por la pandemia.

Según la fuente abajo mencionada el préstamo se distribuye de la siguiente manera:
https://www.elsalvador.com/noticias/nacional/chivo-wallet-empresa-asamblea-fmi-corrupcion-bitcoin-/1039200/2023/

Que vale mencionar en este Iceberg que se ha convertido Chivo wallet, lo de la base de datos resulta solo ser la punta.

Es cosa de ver los logs para detectar si hubo algún intruso en el sistema, en linux encuentras trodos los logs en la carpeta de:


Y tambien hay comandos que pueden ayudarnos desde una terminal, así como:

history - Ver los últimos comandos ejecutados
last - Ver los últimos inicios de sesión
who - Ver las sessiones activas.

Al final cuando hablamos de un leak nos referimos a que descargaron la base de datos, y esto puede ser de 2 maneras, o entraron al sistema y descargaron una copia de la base de datos, o encontrar un vector de ataque para SQLinjection y así accedieron a todas las tablas.

Depende … Si los maleantes lograron acceder a un entorno corporativo y copiar una BD, amén de las particularidades asociadas a su potencial tamaño, podrían haber logs de sistema que indicasen que alguien ha accedido al sistema y se ha copiado cierto fichero empleando para ello tal o cual IP y credenciales de acceso. Esto dependerá del celo con la cual la corporación controla estas cosas a nivel de sistemas, y si tienen alertas o se miran los logs de manera proactiva (y no sólo reactiva cuando ha pasado algo).

Hay que tener en cuenta no obstante que, aunque con potenciales parámetros de control y supervisión, también se suelen "ceder" datos a terceros para realizar trabajos sobre conjuntos de datos (analíticos, operativos, de comunicación, trabajo offline, etc.). Estos datos que son traspasados conscientemente de A-> B para el desempeño del trabajo son potenciales puntos de fuga, por mucho que se solicite al receptor un celo demostrable en su cuidado.

Parece ya hasta casi inevitable que una noticia negativa y falsa tenga que crecer como una bola de nieve para que un ente gubernamental y oficial tenga de desmentir su veracidad. Pero bueno, supongo que así son las cosas.

Me disculpan mi sombrero de aluminio, pero ¿Existe alguna forma realmente práctica en la cual desarrolladores de un producto así puedan saber si fueron víctimas de leaks o no?
Por los casos que he visto en otras situaciones de robo de datos, los desarrolladores de videojuegos, universidades o bancos se dan cuenta del crimen porque directamente se trataron de ataques en los que los criminales encriptaron bases de datos o secuestraron máquinas con fines monetarios.

Pero si estamos hablando de criminales que solo buscaban con hacerse con una copia y salir por la puerta de atrás sin ser vistos ¿Existen mecanismos para saber si algo así tomo lugar?

El Salvador: Chivo Wallet desmiente filtración de datos de seguridad de usuarios
https://es.cointelegraph.com/news/chivo-wallet-denies-user-security-data-leakage (1)

Luego del "auge" noticioso sale un organismo del gobierno a decir:

^Fuente:(1)




Fuente:https://twitter.com/chivowallet/status/1782992751354655118

Al menos la cuenta saco algo de vidilla con ese "x", no publicaba nada desde el 16 jun. 2022

Aunque no está oficialmente confirmado, fuentes están apuntando a que la BD que ronda por foros de hackers, con datos de 5M de salvadoreños, se corresponde con la BD derivada del KYC de los usuarios del sistema Chivo.

Concretamente se indica que la citada BD está rondando los foros para su compra desde agosto 2023, y contendría 114 GB de datos incluyendo el nombre completo, número de identificación, fecha de nacimiento, dirección, teléfono, correo electrónico y una foto de la cara de cada persona registrada.

Databreaches apunta a que la BD procedería de una copia en la nube (Mega) que tenía Alejandro Muyshondt, un antiguo asesor para la seguridad nacional (ya ves …).

Ver:
https://databreaches.net/el-salvadoran-database-raises-questions-of-possible-political-intrigue/
https://news.bitcoin.com/leaked-personal-info-of-over-5-million-salvadorans-apparently-linked-to-chivo-wallet/

En vista de hechos tales como los reflejados en el post citado, la ONG religiosa Cristosal ha solicitado a la Fiscalía General de la República de El Salvador que inicie pesquisas por los delitos penales que se pudiesen derivar en el desarrollo y puesta en marcha del Sistema Chivo.

Concretamente, busca que se puedan traer al frente los responsables que permitieron el hurto de identidad en el sistema y el daño sobre los recursos públicos provocados por la sustracción de un estimado de 12 M $ de manera fraudulenta (se entiende que se corresponden a los 30$/habitante que descargó la wallet, pero totalizando los que se hicieron de manera fraudulenta).

No sé si esto tendrá realmente recorrido penal, pero será interesante ver la postura de la fiscalía en este caso, y los argumentos que usa para estimar/desestimar la demanda.

Ver:
https://twitter.com/Cristosal/status/1628412483609284609/photo/1
https://www.elsalvador.com/noticias/nacional/cristosal-solicita-fiscalia-investigar-chivo-wallet/1041534/2023/

El artículo abajo referenciado denota que siguen habiendo problemas para algunos usuarios con la Chivo Wallet y los cajeros asociados, aunque al no cuantificarse los casos, no podemos inferir si son excepciones, casos sujetos a particularidades, o fallos reales generalizados.

Se citan casos concretos, y quizás se desprenden dos aspectos sobre los cuales debería reflexionar (tras cuantificar) la autoridad competente en la materia:

-   Parece que habrían muchos comercios que aún no aceptan bitcoin, aunque esto podría ser algo netamente más pronunciado en unos departamentos que en otros.

-   Parece que existen muchos cajeros sin efectivo, por lo que pierden gran parte de su utilidad. Hay gente que comenta que se lo pasan a su cuenta bancaria y lo sacan por la red convencional, pero claro, no todos tienen acceso al sistema bancario.

Ver: https://www.criptonoticias.com/comunidad/atiendan-fallas-chivo-wallet-grito-no-cesa-el-salvador/

Los fallos del Sistema Chivo, descritos en mi post anterior, realmente son propios de cualquier desarrollo de software realizado con prisas, donde muchas veces se recorta tiempo a base de reducir los formalismos y los controles de calidad y estrés del sistema. Según parece, iban contrarreloj para poner en marcha el sistema para la fecha deseada, y el calendario no siempre es amigo del buen hacer (y aun así, se pueden escapar cosas).

Últimamente no tengo conciencia de leer mucho respecto de fallos en el sistema, por lo que quiero entender que se subsanaron y el sistema es razonablemente estable y exento de problemas como los citados anteriormente.

Nada desdeñable esos comentarios y aunque si, es Chivo Wallet, es la realidad que bien sabemos que (existen) pueden suceder en cualquier sistema centralizado.

Seamos sinceros toda la culpa no es del "Chivo" pero cada vez parece que tenía que saberlo.

Abajo dejo los enlaces a una lectura interesante, donde se reflejan algunos de los problemas del Sistema Chivo, mayoritariamente relativos a los días iniciales de arranque del sistema, pero que presumiblemente le han costado al gobierno de El Salvador lo suyo económicamente.

Los artículos abajo referenciados, contienen extractos del testimonio de Shaun Overton en una corte de EEUU (Northern District Court of Texas). La empresa de Overton fue contratada por el gobierno de El Salvador, y luego por Athena, para reparar algunos de los problemas iniciales del Sistema Chivo durante el 2021. El testimonio dado forma parte de la reclamación de Overton por impago por parte de Athena por los servicios prestados, y nos permiten conocer algunos de los fallos iniciales en mayor detalle.

Entre los fallos citados, algunos conocidos y otros no tanto, cita un fallo masivo relativo al procedimiento KYC. Fue ponerlo en marcha, y con apenas 150 peticiones el sistema se colapsó. En vistas del ello, decidieron paralizar el proceso KYC, pero seguir adelante con los demás procesos que permitían reclamar los 30$ por cartera descargada. Como consecuencia, hubieron miles de descargas fraudulentas, realizadas con el nombre, apellidos y documento identidad de terceros sin control alguno.
En global, se estima que este fallo llevó a poder robar de alguna manera entre 12M$ y 24M$ por este proceder, suponiendo que entre un 10% y un 20% de las cuentas creadas fueron hechas de manera fraudulenta. A mí me parece ida la cifra, pero eso es lo que se indica en el testimonio.

Otros fallos adicionales citados, con coste para el Sistema Chivo, y que ya me suenan, fueron:

- La paridad BTC/USD se mantenía fija durante intervalos de un minuto completo. Esto permitió a espabilados hacer caja con el arbitraje (ver en otros Exchange si el precio subía o bajaba, y vender o comprar en el Sistema Chivo en consecuencia).

- Un programado, por error, logró introducir cierta noche una paridad 1:1 entre el BTC y el USD. Dado que sucedió de noche, nadie pudo realmente aprovecharse de manera significativa (no podían sacar del Sistema Chivo), aunque algunos lograron hacer su agosto mediante TXs LN.

Si bien el fallo se quedó esencialmente en el Sistema Chivo, y por tanto en los saldos de las cuentas que hubiesen transaccionado esa noche, sobre el papel, técnicamente dejaron al país en la insolvencia. Por lo visto, esa noche se transaccionaron 180000 $ por 180000 BTCs, con un valor de mercado de entonces de más de 10 billiones (americanos) de $.


Ver:

https://www.no-ficcion.com/project/us12millones-hurto-chivo-wallet
https://www.elsalvador.com/noticias/negocios/chivo-wallet-empresa-fraudes-bitcoin-nayib-bukele/1020228/2022/

Quise buscar información oficial, algo, un comunicado; "si, presentamos fallas que permitieron que se hicieran transacciones por $x...". Nada.

Si hemos tenido algunas expresiones hechas por el mismo Bukele pero en un sentido general del servicio.

He dado con una noticia en otra fuente, que en la realidad debería ser lo mismo, pero ahí esta tratada de otra manera, en esa fuente dicen que por un error del sistema las personas vieron saldos inesperados, algunos en millones de dólares, triste pero fueron millonarios por algún instante.

Estos fueron algunos de los comentarios, según la fuente El Salvador.com^clic:

“La Chivo está chiflada. Ahora resulta que soy millonaria. De $68 a más de $3 millones,“

No esta claro cuanto tiempo existió esta situación, pero la reflejan en horas. Lo otro es que esta "situación" se refleja como un error de Chivo Wallet (interno) no algo que hackearon.

Esta es mi opinión en referencia a la(s) situaciones en ese sentido que se han presentado, es absolutamente especulación, creo que tienen un "pillo" interno, Chivo Wallet, hay tanto dinero de por medio, que y aquí la parte difícil, pues no tengo pruebas, pero es muy posible que todo esto sea complicidad interna y todo esto que se ve como un error o como que fueron hackeados, es complicidad interna, todo parece humo en estas historias.

Algunas imágenes que proporciona la misma fuente corresponden al 2021, noticia que comentamos también en su momento, una de ellas, solo por apreciación parece ser original pero la otra si que se ve que parece un montaje.

Ahora bien, esta noticia que presento corresponde al octubre del año 2021, en ese sentido me parece una extensión y una continuidad. (es decir mismo tema)

Aunque sin importar esto, Chivo Wallet tiene unos graves problemas en diferentes vertientes, pero su imagen general... me parece que una renovación total, incluso de nombre es lo mejor que pudiera suceder con Chivo Wallet.