La seguridad como bien público | Governance Day | Crecimiento 2024

Transcript

la importancia de public Hood en el mundo de la seguridad o la seguridad como public Hood yo les voy a dejar acá por si quieren mirar un un cachito un el QR para que puedan acceder el link de abajo creo que no está andando bien pero lo voy a dejar andando Así pueden En todo caso si quieren seguir la presentación se habla mucho del infinite Garden si la presentación va a ser un poco en spanglish y hoy estoy un poco bajo de energía así que espero an porque suelo ser bastante histriónico y comdo pero quiero hablar de un tema serio Voy a tratar de evitar hacer chistes y decir mal las palabras particularmente porque mi mam me está viendo en el Stream Así

que arr no puedo muchas veces se habla de que el ecosistema yar principalmente y2 es un Garden Garden significa que es lugar constante crecimiento que no está Solamente lleno de de de competición como un montón de cosas positivas y la verdad que a medida que nosotros no vamos ingresando en en el ecosistema de hecho en este mismo lugar en el que estamos nos damos cuenta de que es verdad que hay un montón de cosas que están buenísimas que no se estaban haciendo que la tecnología trae un montón de de consecuencias super positivas

y y mientras más te empezá a ad entrar en todo esto te das cuenta de que hay gente haciendo lo mismo hay gente que le recopa lo que estás haciendo empezas a descubrir tecnologías increíbles vas a una conferencia conocí otras personas que están más manejas que vos participas de tu primera hacat empezás a a ganar premios empezás a desarrollar un producto que termina tal vez siendo una startup empezás a hacer un montón de networking con un montón de personas ves un montón de material que está hecho Open source hay productos que están haciendo suya el impa Hay un montón de cosas Hay un montón de cosas que son increíbles y realmente lo creo realmente creo que esto es así Pero si seguimos un poco con la metáfora del infinite Garden

un infinite Garden necesitaría mantenimiento infinito no creen qué pasa con eso y si y si vamos un poco más allá y nos ponemos a pensar en qué otras cosas puede tener estos estos jardines estos lugares increíbles no como el que está detrás de la imagen otra puede haber Bueno una de las cosas que muy probablemente haya es dentro de todos estos jardines en algunos lugares un montón de bosques generando un monte con sombra creando un bosque oscuro y cuando bosque oscuro me refiero un poco a la metáfora de de The Dark Forest que no voy a expandirlo

demasiado per un poco sobre el exponerse en determinado ambiente y y el hecho de exponerse tiene consecuencias porque todo el mundo está como Y en este momento no vengo a hablar de si el bosque es algo que debería o no debería estar ahí solamente quiero que asumamos que está ahí y que que esté ahí significa un montón de cosas significa que el jardín tiene una biodiversidad bastante amplia que permite que este bque esté ahí y también volviendo un poco a los ejemplos de todas las cosas que mencioné también entender que no todo está hecho por el bien común que hay personas que priorizan su propio beneficio por sobre

el resto y que lo van a hacer de todos modos Más allá de Si eso pisotea a al resto digamos no entonces así es como nos damos cuenta que desafortunadamente no todo el mundo busca lo mismo y va específicamente a a disfrutar las cosas que mencioné al principio entonces Dentro de este bosque oscuro ocurren un montón de cosas las más conocidas son hoy en día onchain a la hora de que vos estás desarrollando estás haciendo una transacción y tal vez te la Front ranan de hecho una de las la eoa que más gas gastó es un Bot que hace explotación de meb que busca como esas dentro de los bloques Busca Cómo explotar esas

ordenando las transacciones para sacarle sacarle beneficio para uno mismo [Música] y El problema es que hoy en día solo exponiéndose ya sea creando un protocolo que te puedan explotar o tratando de enviar una transacción para hacer algo y que alguien trate de hacerla más rápido que vos o de una forma más inteligente porque tal vez está muy acostumbrado a automatizar ese tipo de cosas No solo quedamos expuestos en este bosque oscuro si hacemos cosas on Chain Hoy está pasando que hay muchísimas muchísimas pero muchísimas entrevistas falsas de trabajo uno busca trabajo y hoy en día tiene una consecuencia sobre todo si tienen un perfil en el mundo web 3 Hay un montón de personas que están tratando de de

buscar ese tipo de perfiles crean empresas literalmente empresas falsas donde contratan personas sin saber esas personas que están siendo contratadas para algo más grande malicioso y esas personas forman parte de un equipo de recursos humanos en donde para ingresar a trabajar dentro de esa empresa ponen un desafío y el desafío ese está borado y esto está y pasan un montón de cosas ahí en la imágenes de un montón de de cositas que recolecté dentro de mis de mis de mis conocimientos y va ha pasado tanto a nivel que la FBI por mencionar una entidad que la gente por ahí tal vez conoce tuvo que sacar un un comunicado que este específicamente dice tengan cuidado porque hay un montón de scamers

haciéndose pasar por exchanges de cryptocurrency O sea a nivel que ocurrió tanto que hay instituciones organismos como el FBI que sacan comunicados como este también que sacaron hace poco diciendo Che hay mon de ads de trabajo remoto que son falopa O sea no se metan ahí ha hay literalmente un organismo de estado los famosos State actors que tratan de acceder a explotar protocolos y no solamente lo hacen desde el mundo on Chain entonces mostrando un poco más de datos para respaldar esto cuál creen que es el la causa número uno esto por lo menos de enero hasta mayo de este año la causa número uno

de que es responsable por la mayor pérdida de dinero hoy en día en el ecosistema hoy esa causa tiene 23 incidentes en esos meses y hay 500,000 millones de dólares perdidos solamente por esta causa ha esto est un top de top 10 de Top 100 la causa número uno es el robo de private Keys no es un Attack on Chain pasamos de mejorar la dinámica de de de creación de smart Contract y hacerlos un poco más seguros y le pondr un asterisco ahí porque no estoy 100% seguro de eso pero ahora lo que pasó es que este vendría a ser como el como el lugar en donde es más fácil

lograr acceder a explotar protocolos y y hacerse de más plata no entonces mirando un poco más de estadísticas tengo para mostrarles de tres lugares más hay un lugar que se llama re database re viene de re de la palabra en inglés que significa como cuando un avío es estrella Por así decirlo 80,000 millones de dólares robados y perdidos de los cuales se recuperó menos del 10% Y eso son más o menos 2900 situaciones que que suman el total para para para ese ese valor después en defy Lama hay algo que llama total value hacks en vez de total value lock total value hacks y es de explotación de smart contracts y tiene cerca de 8 millones 8000 millones y

medio de de dólares perdidos en total 6000 6000 millones solamente en defa y 2800 solamente en Brides Gracias y después tenemos otro lugar que tiene como una especie de tabla en donde en base a un montón de cosas que suceden a nivel público que llama comptech la empresa hizo una una cuenta de todos los rps no rpol para la gente que no sabe es cuando básicamente un protocolo hace algo y se mete un montón de gente y momento y sacan todo y se llevan toda la se quedan con toda la plata y ascam son cuando proyectos son tratan de ser No no es una copia otro pero tratan de crear como algo totalmente legítimo pero después

también se terminan robando todo o sea solamente ese dos tipos de casos 870 del 2018 más o menos que son 27000 millones de dólares una locura nos estamos dando cuenta que hoy en día todos los ataques no son específicamente sino que tenemos dns hijacking Tenemos un montón de cosas que tienen que ver con la parte del frontend de los sitios tenemos hasta instalación de malware a través de backdoors en repositorios en una entrevista de trabajo es una locura si les interesa saber un poco más sobre cómo protegerse de esto de dark Forest específicamente dentro de la blockchain hay un handbook que crearon las personas de soloist verdad es bastante largo y es un poco más para los paranoids pero

tiene un montón de información super valuable Así que lo pueden buscar Entonces por qué está pasando esto y de qué forma podemos todos no hacer algo entonces hay algo que queremos hacer que es o deberíamos hacer que es complementar los esquemas existentes de seguridad en este caso serían las empresas de seguridad privadas O sí también son empresas de seguridad privada los que hacen los contest y crean plataformas de Back bound entonces hay un montón de cosas que están por fuera de eso Entonces de qué manera lo podemos hacer discloses Bueno podemos agarrar decir mira encontramos esta abilidad en este repositorio estoy viendo que tenés estos isus y esto me preocupa alzar la voz empezar a compartir ese tipo de cosas agarrar

decir Che perar están viendo el contrato de esto pero esto en realidad tiene un malador tiene un nodo Habría que ver esta parte también porque se está dando todo lo que es son chin todas estas cosas están quedando afuera no se olviden Hay cosas del frontend que pueden llegar a tener problemas y esta persona la verdad que está publicando un montón de información de lo que está haciendo Y es super vulnerable que alguien ingeniería social fijarse Qué riesgos puede llegar a tener el consumo o el uso o el mal uso de distintas aplicaciones compartir información no solamente compartir algo que que nos vaya a dar like sino compartir al lo que realmente sea útil para el resto de las personas compartir información sobre los incidentes para que podamos aprender de ellos crear contenidos educativos de muy buena calidad que sean accesibles que sean abiertos en distintos idiomas en

inglés o en español en este caso como como es como es el mío tratar de hacer que el aprendizaje no sea aburrido que no sea superduro trata de gamificar un poco ayudar a comunidad locales yo ahora estoy en pasando bastante tiempo en tandil y estoy ahí tratando de apoyar como puedo y cada vez que viajo también lo hago así que ese tipo cosas están espectaculares SP checks que son como una especie de audit pero no es un audit porque no están constrained en una Time window sin esperar específicamente que estén dentro de un context por ejemplo y proveer feedback de todas las herramientas que utilizamos Hay personas detrás de todas las herramientas que utilizamos como contaba gon recién Hay un montón que son public good y está

sera buenísimo que el feedback o el input de ustedes o casos de uso que ustedes están teniendo Y no y no y no les llegan a esas personas se compartan también entonces La idea es que tiene que haber equipos que prioricen la sustentabilidad de en este caso de etherium en el largo plazo y que no y que pongan por encima de sus intereses financieros esta misma misión no entonces entonces lo que sucede es que hoy tenemos imagínense un diagrama de tenemos por un lado todas las necesidades de seguridad del ecosistema y por otro lado mordiéndole enter the redgill que es

básicamente Mientras hay un montón de personas que tratan de generar contenido haciendo engagement farming buscando likes buscando estar en un leaderboard y Y tratar de de pensar simplemente y gozar el resto Cuánta plata está ganando mucha gente literalmente tiene Cuánta plata ganó en navío de su de su Twitter nosotros queremos ser personas que genuinamente ponen la sustentabilidad del sistema y todo lo que hacemos de una forma en la que ninguna de esas cosas nos distraiga ninguna de esas cosas nos distre Entonces estamos en bueno contando un poco lo que lo que decía recién y seguir con este commitment que

tenemos para asegurar y tener un gran impacto Más allá de si nuestras contribuciones tienen un impacto económico o no más tarde entonces estamos en un camino donde nos gustaría ía posicionarnos como los mejores o los principales contribuyentes de seguridad como public en el ecosistema de etherium y Qué cosas hacemos bueno nosotros hacemos investigación educamos Tratamos de generar concientización para evitar que muchas personas básicamente reciban un un incidente eso les incluye ustedes tanto como nosotros Porque Nosotros también estamos PR todo esto y hoy nos encontramos como medio medio Dentro de este gráfico no por un lado está todo web 3 por el otro lado está todo dos y

no solo saí en el medio pivote un poco el último tiempo de de de est má en el hacking de los Smart contracts porque vi todo esto que les contaba el principio y la verdad que también el concepto de de web 2 y web 3 Estoy 100% seguro que menos de la mitad de la gente realmente lo entiende y lo estamos usando todo el tiempo mal porque hay protocolos que dicen solamente usamos web 3 y después sufren un ataque de single point of failure y era por a causa de una centralización y lo único fácil distinguible de web 3 es que existe el concepto de centralización Entonces es se pasaría a decir que es un ataque de web dos como que es como que a veces siento que la diferenciación hoy en día confunde muchísimo más y Estaría

bueno empezar a hablar un poco más de tecnologías que de un movimiento completo porque a web 2 nadie le decía web 2 hasta que apareció web 3 todos le decíamos internet y le decíamos lo llamamos por su nombre el protocolo este este protocolo este otra cosa bueno tuvimos esta fantástica idea empezar a separarlo de esta forma y hay gente que hoy hoy en día hace seguridad en web 3 y no sabe nada de web Apps y no sabe que pueden le pueden cambiar el adre de su contrato a la interfaz de su protocolo en el sitio web Y eso no está descentralizado entonces Bueno dale boludo qué Vení hablando un montón pero realmente qué están haciendo ustedes Bueno hacemos cosas como estoy haciendo ahora en este momento hablar frente ustedes damos talleres creamos eventos damos charlas

pero No Solamente damos contenidos o damos una charla sino que realmente nos metemos a dentro de los eventos de una forma que es hacer trabajo fuerte y duro tratando de ayudar de un montón de lugares de qué lugares y miren hace poco estuve en estuvimos en etherium Argentina etherium Uruguay yacana lef mentor juez charla taller a veces ayudo con la producción después les voy a hablar ahora muestro en un rato Mañana Security day la semana pasada un montón de talleres mentoring mentoring Incluso en las start ahora en al entonces hacemos un montón de cosas y también tenemos un montón de recursos porque estamos conectados con bastantes personas que le voy a contar un poco más adelante ahí está el el luma del Security day de

mañana están todos invitados invitadas a a a participar es un día entero de seguridad desde las 10 99:45 de la mañana de la mañana hasta las 4 de la tarde y esos son alguno de los talleres que dimos la la semana pasada en colaboración con un montón de personas ahí estoy yo dando algunas charlitas ahí fíjense mi compromiso estoy quebrado al metatarso izquierdo pero si sin embargo en Alf tengo un Magneto Así que hago terapia dentro dentro dentro del cowork en la z uno de los talleres uno de los talleres de este era pato explicando cómo hacer deployment con hard logramos que venga el mismo creador a hacerme el favor Es un amigo a explicar cómo funciona su herramienta Ahí estamos en muy buenos también que

hicimos un montón de eventos siete eventos tres sociales y cuatro de seguridad y todos fueron escuchando las necesidades de la gente y obviamente ya no puedo hacer todo esto Solo somos un equipo de personas unas van a ir viniendo otras se van a ir yendo porque funcionamos más como un concepto de guild en donde yo digo que nos gusta hacer como gorilas como la banda en donde tenés un Core Team y Dependiendo el el el Tour o el álbum van cambiando algunos pero el Core Team queda Bueno te dicho claramente No mi Partner in CR é no está acá conmigo está en o parece que lo maté así no está está en en otro país entonces a veces él da cosas afuera y yo las doy las doy por acá y muchas veces nos encontramos y también hacemos

colaboraciones con distintos tipos de personas en este caso con con Pablito que compartimos un poco la parte lo que se llamaría web2 en este ambiente y y hace seguridad operacional así que tenemos química en el escenario as que estamos experimentando hacer unas charlas juntos mañana vamos a hacer otra y también voy a decir que hacemos Security awareness campaigns Aunque hicimos una sola y nos ofrecieron hacer otra en devcon pero lo quiero decir para tirarlo al mundo intencionar así sucede enum Argentina pegamos agarramos computadoras que están desbloqueadas algunas de hecho me las llevé para concientizar y decirle a persona no tenés que hacer esto en esa col casi me meto y le dejamos unas tarjetas unas tarjetas que decía tipo Che te podría rec cabido no duermas y teníamos pendrives que en realidad no tenía nada

malicioso sino que tenía una in pero le era como che No seas boludo no hablas esto Te podría haber pasado algo porque no sabes si esto en realidad emula hacer un teclado u otro tipo de cosa jugamos con radiofrecuencia hicimos ataques de WiFi copiamos la la la estética de la de la organización y empezamos a poner para hacer un challenge y el challenge teóricamente te da un premio pero el premio que era que te daba era que te instale algo en la computadora que en realidad era nuestro gatito curiosity Simplemente te decía la curiosidad matado al gato No er para que no estés escaneando boludeces lo pusimos hasta en los baños en el en el mapa el QR del mapa del sec tenía uno pegado encima y después hacemos un montón de cosas más relacionado a la parte dura de la qu es

Back hunting contest Sí para la gente lo sabe que son contest son una empresa pone un un repositorio con un montón de código Y dice Bueno desde acá hasta acá lo pueden auditar en estos x días no le diría auditar pero lo pueden mirar estos x días y hay un pozo y ese pozo se distribuye entre todas esas personas despés hacemos spex que era lo que le comentaba un poco más arriba y research si bien no hacemos todo el tiempo contest o po o hunting muchas veces participamos para poder hablar desde la experiencia porque hay situaciones en donde la gente que hace seguridad termina en estos contest y termina disputando la severidad del isu del problema que están reportando y

termina siendo todo bastante Un quilombo De hecho hay un artículo que escribimos al respecto de eso Entonces en vez de mirar de afuera y opinar decidimos ir meternos adentro vivirla a veces horribles experiencias otras veces están bastante buenas Pero hay muchísima muchísima pero muchísima competencia ahí dentro y después dentro de todas las cosas que hacemos para generar contenidos educativos hacer educación y concientizar tenemos artículos en el blog de hecho Ahí está Who wants to make judging better que es el que les menciono que tiene que ver un poco con el tring de estas plataformas de contest y un par de cositas más que la verdad siento que nuestro blog y en base a lo que me ha dicho la gente Así que me

animo a decirlo públicamente también original siempre que escribimos algo Tratamos de asegurarnos que no exista ningún otro lugar no Tratamos de hacer cosas que ya estén hechas Tratamos de Como le digo cubrir todos estos gaps así que nuestro blog tiene muy poca gente que nos sigue Pero toda la gente que nos sigue Lee básicamente todos los artículos y nos dan feedback Así que estoy rec contento eso eso está buenísimo publicamos updates de absolutamente todo lo que hacemos de hecho el que se viene va a ser un kilombo porque entre las últimas tres conferencias y que vengo de decc y allá estuvimos haciendo más cosas también entonces va a ser increíble la cantidad de updates que tengamos Y tenemos un canal de YouTube en donde subimos a veces hacks que nos pide la gente Che pueden subir esta aplicación de este hack técnico no no entendí un

bueno Nosotros tampoco entendemos un Pero bueno le metemos un poco de onda y vemos a hasta dónde podemos llegar y a veces subimos talleres charlas que las organizaciones en donde hablamos nos dan y las editamos un poco así que también recibimos request si quieren algo en particular y también hemos hecho lo que yo considero uno de los cursos de seguridad más piolas que existe hoy en el ecosistema principalmente del lado de compatible eum que lo hicimos con Patrick Colin que es una bestia dando contenido es una bestia te mantiene tipo al tiro siempre ahí como es como si tuviera tomado dos cafés y un Red Bull mirándolo si es este chón de dónde saca tanta energía increíble y hicimos una colaboración con él ayudamos a armar parte del outline parte de los contenidos y tincho sale tiene más 24 horas y creo Hoy a todo el

mundo que quiere meterse en seguridad métanse acá directamente y dentro de las cosas que también hacemos de forma educativa más de quicando plataformas tenemos oldify que siempre digo que es el el lugar justo para ir cuando tenés conocimiento de seguridad pero no explotas todavía vulnerabilidades a nivel que son casos reales o no te animas todavía a empezar a hacer una auditoría o empezar a tener clientes Entonces esto están todos estos challenges están basados en en escenarios reales entonces Está bueno porque son relativamente progresivos y hace poco largamos una nueva versión y ahora está todo foundry directamente y en base a Justo a ese

mismo taller que yo les mostraba que les conté que lo hice muy buenos y en base al backdoor que le metimos a varias personas backdoor era simplemente cl un repositorio y bajábamos un PDF que decía p como les contaba era como Che para la gente está ejecutando las cosas en su computadora así sin más O sea yo les paso un repositorio y corren un repositorio como que esto no tiene sentido para mí era como no no no no esperen esperen no vamos a hacer el taller que vamos a hacer Vamos a aprender a como evitar para que no no se Las pongan básicamente no entonces creamos un un de container básicamente les enseñamos a isolar Alo que para muchas personas es su diario para otras personas tal vez no Entonces sera como bueno Che para queres meterte a auditar qué te queres meter a hacer queres

ponerte a desarrollar bueno para mete un de container Us visual Studio code con de esta forma isolada y estos extensions y tener cuidado con esto de hecho en eterium Argentina vemos un taller que es un walkthrough of repository backdoors basado en los vors que meten en entrevistas y basados en un par que algunos me los inventé y algunos los inventamos con los chicos Así que en base a lo que a veces necesita la comunidad también vamos improvisando y también participamos y estoy muy orgulloso de esto de una organización que es increíble que se llama la Security Alliance que es otra organización sin fines de lucro está liderada por Samsung o samc que es una de las personas más

admiradas en el mundo de la segura informática dentro de dentro del ecosistema y a diferencia de nosotros que nos focalizamos más en ethereum esto es Cross scpt like en blockchain Wi sería como a través de todas las blockchains y en el equipo tenemos gente O sea yo trabajo con estoy rec contento pero trabajo con gente que es her Security unis polygon optimism gente de todas las blockchains es increíble gente de la que leo libros o o estudié de la tengo ahí trab and con nosotros Así que estoy rec contento y la idea es como que sean como una especie de social layer de la parte de seguridad y todos estos productos estas iniciativas son public good las voy a

explicar brevemente Porque estoy muy seguro que mucha gente acá no sabe que esto sucede y estas cosas suceden de fondo y los están protegiendo entonces comenzando con sil Now one1 sil1 One es una hotline 247 en donde cualquiera puede reportar de cualquier blockchain de lo que sea un incidente Che me hackearon Che me hicieron fishing Che estoy viendo que están explotando este protocolo che me están explotando el protocolo Ok entonces tenés personas como ya le digo de blockchain W de todo el cryptos space que están que crean un workroom meten a la gente que realmente sabe empiezan a hacer investigación se fijan absolutamente todo lo necesario para tratar de recuperar o evitar que se roben fondos Y hasta ahora en los últimos meses se evitaron robar más de

100000 más de 100 millones de de de dólares después está wargames wargames está buenísimo también voy a decir que están todos buenísimo porque la verdad que son un highlight O sea no cada iniciativa Tiene lo suyo básicamente son escenarios en donde se agarra un protocolo una organización y se le hace una simulación de que los están hackeando que los están atacando y dependiendo de cada organización como ven ahí no hace falta que lean voy a poner algunas slides con mucho contenido no hace falta que las lean simplemente skim con los ojos y escúchenme a mí cada organización cada entidad tiene escenarios específicos en donde trig aría más el generaría una situación más difícil si ocurriera tal cosa un

poco eso es lo que se busca como bueno no esto por ahí es muy fácil de resolver no no Qué pasa en esta situación no Y estos fíjense acá Hay alguno de los protocolos son la verdad que todos todos super conocidos hay un par más cada uno de ellos requiere un un lo voy a decir en inglés custom build básicamente porque su tienen diferencias muy grandes entre cada uno de ellos Entonces su Setup Debería ser muy tailored a lo que a lo que necesita cada uno entonces lo que se trata de hacer con esto es algo muy parecido a lo que sucedería realmente no es tipo Uy Bueno yo soy developer se la están están Están Vaciando el protocolo Bueno me meto yo

no no no esto es como literalmente se hace capaz que una copia del protocolo en testnet y se ejecuta un un ataque eh fake no Pero y y se evalúa cómo cómo responden Entonces qué pasa en una situación real qué es lo que sucede hoy en día lo que sucede bast vista bastante lo que lo que se trata de hacer acá pero hay protocolos que tardan 5 días en darse cuenta que los explotaron y encima se dan cuenta por un tweet de otra persona en en en la plataforma en Twitter digamos es como que no no tiene sentido o hay persona che No puedo retirar la plata y cómo no puedo retirar Ah sí Mira nos robaron 100000 millones de dólares voy decir cómo no te dan cuenta antes no tiene sentido Bueno entonces parte de todo eso y que lo que más se ve afuera es la la comunicación a

la hora que suceden este tipo de cosas lo que trata de hacer es elicitar una respuesta a través de todas las partes de un equipo okay Para sucedió el ataque en estos meses no Okay Cuál fue el ataque esto para Quién entiende esto a ver Busquemos un auditor y el auditor dice para no entiendo parte del código porque necesito un developer Entonces se mete el developer Okay buenísimo y para y alguien esto entró modo emergencia Necesito un Guardian para que para para que tres Guardians para que firmen esta transacción para actualizar este contrato Okay dónde están los Guardians Okay perfecto y Cómo comunicamos todo esto y la parte legal nos van a hacer al nosotros o nosotros tenemos que hacer prosecution a la persona que Aparentemente nos nos entonces como que todo eso es fundamental todo eso es fundamental y no se testea es como

no tener un edificio preparado para un incendio y nunca probaste si si sale agua de del de los showers esas o o nunca hicieron una especie de simulacro Por algo se hacen esas cosas Por algo se hacen esas cosas y bueno la anatomía de la infraestructura de los la verdad que bastante amplia tiene ahí un par de cositas pero no me quiero extender después está Isaac Isaac es algo increíble es un centro de inteligencia que comparte información de absolutamente todo lo que sucede en el ecosistema y lo que trata de hacer Es que hoy en día se salga de sitios como rec news que yo hablo mucho de red news voy ahí a buscar

información son blogs que tienen análisis detallado de de un atacante y dónde siguió dónde movió los fondos Qué pasó Cómo reaccionó el ecosistema o sitios como a veces Twitter en donde la gente postea dice Che Mira me están reinando descubrí que hubo un ataque en este protocolo entonces La idea es como evitar que exista toda esta información distribuida por distintos lugares o incluso No distribuida yo he hecho una investigación sobre fishing para una para un contenido y al final nunca lo publiqué porque tenía miedo de que me ocurra algo de que alguien me me me Target entonces hay un montón de cosas que lo que se trata de hacer es Hay un montón de información en distintos lugares lo que se trata de hacer es evitar que existan como bueno esta gente tiene todo su un montón de inteligencia

acá y este esta organización tiene un montón de inteligencia acá y bueno eso es lo que se llamaría intelligence Silos Entonces tal vez no compartan información o se vende información Che yo tengo toda esta información entonces queres acceder ella bueno comprala y y queremos evitar que la gente que estás mirando las noticias y que nos escuche no pierda la confianza en la tecnología blockchain y en el ecosistema porque la verdad que hay un montón de cosas increíbles sucediendo pero también se entiende que se pierde la confianza cuando hay un montón de ataques entonces lo que se trata de construir con isac es algo que trate de generar más más seguridad en el

ecosistema compartiendo un montón de información de manera centralizada en un lugar pero es solamente la interfaz Porque después toda la información viene de manera de centralizada tratar de de mejorar la reputación del ecosistema tratando de compartir entre todas las personas que tienen que son partes interesadas la información que tengamos al alcance nuestro para para lograr que este tipo de cosas No no sucedan más acá tenemos algunos screenshots este es se busca por ejemplo North Korea y hay información sobre cada uno de los de los grupos el más conocido en este caso es lazarus por ejemplo y muestra como bastante información al respecto acá tenemos un análisis que fue un ataque que hicieron un manches que el

en realidad creo que el dev no es que se dio vuelta sino que era un State actor y había recomendado tres personas más y esas tres personas eran é O sea que él mismo estaba trabajando cuatro veces y después deñó el protocolo entonces bueno todo esto se podría haber previsto si simplemente alguien hubiera estudiado alguna de las cositas o se hubiera compartido información y después Bueno un par de charts más entonces una de las otras iniciativas que está muy buena que lo que trata de hacer es incentivar a que sey una persona que tiene buenas intenciones o a veces por ahí la gente que no es tan técnica no está tan involucrada al nivel para darse cuenta que a veces que uno puede predecir que alguien va a explotar un contrato por

millones de dólares entonces a veces decís qué hago lo exploto o no lo exploto porque si lo exploto puedo ir preso no por ahí no se va a entender y no no siempre puedes anticiparte esto sucede en 7 segundos capaz Entonces qué es sucede cuando pasan ese tipo de cosas Bueno lo que se creó fue un digamos un no hace falta de vuelta que lo lean todo esto se creó toda una dinámica en donde los protocolos pueden previamente hacer un commitment de que si hay una persona con muy buenos intereses o que trata de explotar el protocolo solo para devolverle la plata porque vio que había una posibilidad de incidente Entonces le corresponde un bounty Y de esa forma evitar que haya gente que lo explote sin que vos sepas o que no haya como un

paraguas legal y emp un poco empezar a solventar ese tipo de cosas Entonces esto vendría a ser como uno de los principios de empezar a establecer buenas prácticas en el ecosistema Y qué pasa uno podría decir qué pasa si si alguien me amenaza Igual me dice Che pará explotaste el protocolo y destruiste los tokenomic cómo sabes que un atacante lo iba a hacer cómo sabes que esto iba a suceder De todas formas entonces está el wh legal defense fund que básicamente trabaja con Security research legal defense fund que está para proteger a y darle gr asesoramiento y financiamiento en términos legales a todas las personas que realmente

tuvieron buenas intenciones y que realmente intentaron hacer cosas increíbles esto sucede hace años se el Security Def fund está Hace bastante tiempo también pero ha habido un montón de casos de que uno trata de hacer un lo que llama un responsible disclosure y y tal vez vos estás esperando 90 días a que arreglen un Bag eh alguien como una empresa muy conocida tal vez y no lo arreglan y sabes que están impactando usuarios entonces vos en algún momento decís Che necesito contarle a la gente pasaron tres meses si no lo arreglaste están robándole plata a la gente están dañando la la integridad de de de un ecosistema necesito contárselo a la gente y y sucede que después los persiguen legalmente y la gente no les digo que ha ido siempre presa pero

terminan en un montón de juicios gastando un montón de plata y por es son personas como ustedes que encontraron algo de curiosos curiosas y y termina teniendo un montón de implicancia entonces para eso existe esto después ha una iniciativa en la que estamos no es pública pero estamos trabajando bastante como desde el redgill es Security frameworks que lo que pasó es que empezamos a notar una falta de de contenido que sea claro más con todo el advenimiento de todo este tipo de nuevos ataques que les mencionaba al principio no Entonces que no son solamente targos específicamente a infraestructuras web 3 entonces hay un montón de información para buenas prácticas de seguridad Sí pero no siempre está accesible a veces está dentro de un newsletter que tenés

que pagar o o está en otro idioma o por alguna razón no es fácil de llegar a eso así que está en un montón de lugares es muy difícil de llevar al ritmo es como yo tengo un montón de Stars en github para salir un montón de proyectos y a veces me los pierdo tengo bookmarks en Twitter es como está todo muy muy muy en distintos lugares y bueno Obviamente si tengo contenido en en Twitter o o o de blogs ese contenido en aln momento quedó desactualizado Entonces qué es lo que podemos hacer entonces dijimos bueno para busquemos todo este contenido lo compilamos lo actualizamos lo organizamos lo hacemos más accesible para que lo pueda agarrar cualquier persona lo escribimos de una forma que todo el mundo puede llegar a entenderlo sin importar su background Lo importante

es que sin importar su background Porque todos tenemos un rol específico en las organizaciones entonces hoy en día es así parece una wiki sí básicamente es un mdbook La idea es si lo presento en devcon es dentro de las próximas semanas abrirlo en ese repositorio para que toda la gente pueda colaborar con sus pequeños gitos de arena la verdad que necesitamos muchísima colaboración porque es un proyecto super ambicioso y hoy en día tiene un montón de categorías no hace falta que las ve pero tiene desde incident management inci response Security external secur reviews tiene monitoring tiene absolutamente todo lo que se les ocurra entonces lo que tratamos hacer con esto es que sea una fuente curada de

información específicamente buenas prácticas de de seguridad todo relacionado blockchain y cosas que tocan a blockchain de costado también porque hoy en día estamos haciendo single Sign on con o usando Google en en un protocolo Así que medio que tiene que ser tiene que cubrir todo tiene que ser aplicable independientemente de la tecnología la idea es no es focalizarnos específicamente en aplicaciones o tecnologías específicas A menos que sean cosas como no aws O aure o Google sut que son cosas super utilizadas pero el resto es como más para que lo vea la persona que lo tiene que ver y pueda intificar Cuáles son los pasos a seguir tiene que ser comprensivo y como les decíamos tiene que cubrir distintos aspectos de todos

los proyectos y que esto ayude a que las organizaciones no solo se se protejan sino que entiendan cómo recuperarse después de un incidente que eso sería básicamente la definición de resiliencia Entonces por qué Por qué es importante la seguridad como un public good no bueno si les tengo que explicar o realmente No entendieron que todo esto que Les acabo de mencionar es importante y que esto está sucediendo no no no vamos a esperar a nadie para que esto siga funcionando si realmente No entendieron que nada de esto es importante que absolutamente el 100% Esto public entonces yo fallé hoy como orador Pero de todos modos le digo para

recordándoles no todo no todo todo todo todo todo lo que se hace o se puede hacer encaja dentro de un bus model entonces no es fácil de vender no es fácil de Buscar financiamiento para algunas cosas entonces Esas cosas hay que hacerlas de todos modos porque son se necesitan digamos y no son cosas que uno puede hacer solo son cosas super ambiciosas como ve el Security framework es una locura ni s si lo vamos a poder terminar espero que sí Confío en que si voy a actuar como en Pos ar Pero tenemos un montón de proyectos y cosas increíbles que están sucediendo por suerte con sil que hay un montón de gente involucrada vamos a llegar a muy buen Puerto también y de a poquito ir empezando a cerrar todas estas gaps to Estos espacios que que yo

les decía dentro de de lo que necesito er el cosistema y lo que le está dando la parte privada entonces No podemos hacer solos necesitamos que haya un cambio de perspectiva hace años que vengo dando esto 15 13 años que vengo diciendo que la seguridad hay sale shift left que la seguridad tiene que estar integrada en el ciclo de desarrollo de software etcétera y no me voy a cansar de repetirlo porque la verdad que es algo que se r necesita se necesita entender que la seguridad no es algo que viene aparte y mucha gente dice no pero es carísimo hacer una auditoría bueno estás tenés un tbl de 10 palos y crees que hacer una auditoría de 300k es cara se provocan un incidente Y eso aplican absolutamente todo si crees que la

seguridad es cara prob con incidente ahí te vas a dar cuenta entonces lo importante es a builders hablo todas personas que participen dentro de un organismo traten de construir la seguridad por defecto De hecho estoy empezando a iniciar un movimiento donde le digo a los educadores no digas que este contenido es de seguridad sino como dentro del contenido que le das a los developers adentro Met seguridad no les digas no les digas que tiene seguridad porque si tienen para elegir entre los dos y este camino le va a llevar a a generar dinero de todos modos mete la seguridad y adentro y no le des la chance a que tengan que ir afuera a aprender seguridad debería estar integrada incluso hace tantos años que pasa esto que siempre hablamos sin querer de la seguridad como algo

separado porque siempre vino por separado pero no Debería ser así entender que que los mecanismos de control no Generalmente no sirven estar evitando que algo suceda o o pensar que un usuario no va a hacer esto es una boludez es una boludez aposta es como negar la naturaleza humana Entonces lo importante no es decir Che para no nos debería pasar esto si nos pasa esto es un cagadón porque inevitablemente va a suceder Puede que haya chances que no pero inevitablemente va a suceder y después Qué pasa Qué hiciste ahí cagaste hermano no tenés nada preparado después en cambio Si construimos sistemas que son resilientes y que se preparan para recuperarse después de un incidente vamos mucho mejor encaminados

toda esta filosofía se podría englobar dentro de lo que se llama Security caos engineering por si alguien lo quiere seguir investigando Entonces como decía más mecanismos de recuperación y no negar la naturaleza humana Y por último los los que le quería decir es que entendiendo que hay un un infinite Garden aceptemos que también puede haber un bosque oscuro y que vamos a necesitar ayuda para atravesarlo juntos Muchas gracias [Aplausos]