Firmar lo que ves

Cuando firmas un contrato en papel, lo que lees es lo que firmas. No hay forma de que las letras cambien entre tus ojos y el bolígrafo.

En una pantalla, en cambio, lo que ves y lo que firmas son dos cosas distintas que viajan por caminos distintos. Casi siempre coinciden. ¿Y si alguien se mete en medio?

Un viernes cualquiera

El 21 de febrero de 2025, el exchange Bybit hizo algo que hacía con frecuencia: mover fondos de uno de sus monederos fríos a uno de uso diario. Era un monedero multifirma, que necesitaba la aprobación de varias personas, cada una con su propio dispositivo de firma.

Los firmantes abrieron la aplicación web con la que gestionaban el monedero. Vieron la dirección correcta, el importe correcto y la web correcta. Aprobaron.

Pero el código de esa web había sido manipulado días antes, y estaba preparado para activarse justo en esa operación. Lo que mostraba la pantalla era la transferencia rutinaria. Lo que llegaba a los dispositivos de firma era otra cosa: una orden para cambiar la lógica del propio monedero y entregar su control a los atacantes. Así desaparecieron unos 1.500 millones de dólares, el mayor robo de la historia de las criptomonedas.

Nadie rompió ningún cifrado. Atacaron el paso más humano de todos: aprobar.

Firmar a ciegas

Los dispositivos de firma sí recibieron la operación real. El problema es que no podían mostrarla de forma legible: enseñaban una cadena de datos técnicos que ninguna persona puede interpretar de un vistazo. Y como era una operación rutinaria, los firmantes confiaron en lo que ya habían visto en el ordenador.

Esto tiene nombre: firmar a ciegas. Aprobar algo cuyo contenido real no estás viendo, porque confías en otra pantalla que te lo ha resumido.

Es muchísimo más habitual de lo que parece, y no solo con criptomonedas. Aceptamos condiciones que no leemos, confirmamos pagos por la notificación de una app o aprobamos solicitudes porque «es lo de siempre».

La única pantalla que importa

La lección de fondo es incómoda pero útil: la pantalla del ordenador no es de fiar para lo importante. Puede estar manipulada por un programa malicioso, por una extensión del navegador o, como aquí, por la propia web en la que confías.

Por eso existen los dispositivos de firma, que vimos al hablar de por qué el nombre «monedero» confunde tanto. Su valor no está solo en guardar las claves: está en tener una pantalla propia que el atacante no controla. Si esa pantalla te muestra lo que vas a firmar y tú la miras, el engaño se cae.

Varios firmantes no bastaron, porque todos miraban la misma pantalla manipulada. Cuatro ojos solo sirven si cada par mira algo distinto.

Un hábito para quien firma

Antes de aprobar cualquier operación importante, lee lo que dice el dispositivo, no el ordenador. Comprueba la dirección de destino, el importe y el tipo de operación.

Hazlo sobre todo en las operaciones rutinarias, que es cuando bajamos la guardia. Y si el dispositivo no puede enseñarte lo que estás firmando de forma comprensible, no lo firmes hasta poder comprobarlo por otra vía.

Una regla para quien construye

Para quien diseña sistemas de aprobación, la regla tiene un nombre clásico: lo que ves es lo que firmas. Cada aprobación debe mostrarse, en la pantalla de confianza, en un lenguaje que una persona entienda.

Si el sistema obliga a sus usuarios a firmar a ciegas, el fallo no es de quien firma: es del diseño.

Mirar antes de aprobar

Los ataques más caros no siempre rompen la tecnología. A veces se limitan a esperar a que alguien apruebe sin mirar.

Firmar es un acto de confianza. Asegúrate de que confías en la pantalla correcta.