definición de distributed denial of service (DDoS)

¿Qué es un ataque de denegación de servicio distribuido (DDoS)?

Un ataque de denegación de servicio distribuido (DDoS) consiste en saturar un servicio con un tráfico masivo y distribuido, provocando su caída e impidiendo el acceso a los usuarios legítimos. Es similar a miles de vehículos bloqueando una autopista: no porque estén averiados, sino porque la vía queda colapsada.

Este flujo de tráfico suele originarse en una “botnet”, una amplia red de ordenadores o dispositivos IoT infectados con malware y controlados remotamente para lanzar peticiones coordinadas. Los objetivos habituales incluyen sitios web de exchanges, APIs de datos de mercado o trading, nodos RPC de blockchain e incluso conexiones peer-to-peer (P2P) entre validadores.

¿En qué se diferencia un ataque DDoS de un ataque DoS?

La diferencia principal es la escala y la distribución: un ataque DDoS se lanza desde múltiples fuentes al mismo tiempo, mientras que un ataque de denegación de servicio (DoS) estándar suele proceder de un único origen. Los ataques DDoS son mucho más difíciles de bloquear y rastrear, ya que el tráfico malicioso se dispersa globalmente, como si se abrieran innumerables grifos a la vez.

En el caso de un ataque DoS, los defensores pueden mitigar el impacto bloqueando una sola dirección IP. Sin embargo, para contrarrestar un ataque DDoS es necesario aplicar filtrado aguas arriba y desviar el tráfico cerca de los puntos de entrada de la red, además de limitar la velocidad a nivel de aplicación y emplear estrategias de degradación controlada.

¿Cómo funciona un ataque DDoS?

Los ataques DDoS se dividen generalmente en dos grandes categorías:

• Floods de capa de red: Estos ataques saturan el ancho de banda y los recursos de conexión con paquetes masivos. Ejemplos son los SYN floods o UDP floods, que envían grandes volúmenes de paquetes sin ejecutar lógica de negocio. También existe la “amplificación por reflexión”, donde los atacantes suplantan la IP de la víctima y consultan múltiples servicios abiertos (como DNS o NTP), que responden con tráfico amplificado hacia la víctima, como si se utilizaran altavoces para gritarle al objetivo.

• Agotamiento de la capa de aplicación: Simulan usuarios legítimos realizando solicitudes complejas para agotar la CPU o las conexiones a la base de datos. Ejemplos habituales son los HTTP floods o el abuso de WebSocket. En entornos Web3, los endpoints de suscripción de datos de mercado o de envío de órdenes son objetivos frecuentes. Cuando el tráfico de ataque imita el comportamiento real de los usuarios, puede eludir el filtrado a nivel de red y consumir directamente los hilos de la aplicación, la caché y los pools de conexiones a base de datos.

Objetivos de ataques DDoS en escenarios Web3

En el contexto Web3, los ataques DDoS suelen centrarse en puntos de entrada clave como sitios web de exchanges y APIs de trading o datos de mercado, nodos RPC de blockchain, puertos P2P de nodos completos, puentes cross-chain y exploradores de bloques.

Por ejemplo, en un exchange como Gate, los ataques DDoS a las APIs de spot y derivados pueden provocar lentitud en la carga de páginas, interrupciones en los feeds de velas y libros de órdenes, timeouts en el envío y cancelación de órdenes, así como límites de frecuencia más estrictos y códigos de error más frecuentes para los usuarios de API. En la capa RPC, los ataques a nodos públicos pueden causar timeouts en consultas de bloques o cuentas, fallos en la actualización de saldos y ralentización de llamadas a smart contracts.

En los nodos validadores, un exceso de sondas de conexión P2P puede interrumpir la propagación de bloques y comprometer la producción y estabilidad de la sincronización. Si los puentes cross-chain exponen interfaces públicas, los servicios de firma o pruebas off-chain pueden quedar inaccesibles durante el ataque.

Cómo identificar síntomas e indicadores de un ataque DDoS en los logs

Un indicio claro es la “degradación repentina del rendimiento sin correlato en los indicadores de negocio”: picos de latencia, aumento de timeouts y errores 5xx, y subidas de tráfico sin un crecimiento equivalente en conversiones o transacciones.

En el ámbito de red, se puede detectar un uso anómalo de ancho de banda en los puntos de entrada, saturación de la cola SYN y diversificación geográfica repentina de las IPs de origen. A nivel de aplicación, conviene vigilar QPS (consultas por segundo) irregulares, incremento de la latencia p95, agotamiento de pools de conexiones a base de datos, caída en la tasa de aciertos de caché y picos súbitos de sesiones WebSocket.

Entre las firmas en logs destacan: cadenas User-Agent repetitivas o malformadas, oleadas de peticiones sin cabecera Referrer, una sola IP accediendo a numerosas URLs en poco tiempo o ataques directos a endpoints dinámicos en vez de recursos estáticos. En servicios de nodos y RPC, son habituales los patrones de llamadas homogéneas a contratos o consultas de bajo valor y alta frecuencia.

Respuesta de emergencia ante ataques DDoS

1. Activar filtrado aguas arriba y limitación de velocidad: Si es necesario, aplicar “blackhole” temporalmente a las IPs de destino más atacadas o redirigirlas a centros de limpieza para proteger las bases de datos y motores de matching principales.

2. Habilitar degradación de servicios y modos solo lectura: Los exchanges deben priorizar los motores de matching y la seguridad de los activos, reduciendo funciones no críticas, como la carga diferida de gráficos, la pausa de APIs batch innecesarias o el acortamiento del historial de velas.

3. Cambiar rápidamente a Anycast o dominios de respaldo: Anycast permite desplegar la misma IP en varias ubicaciones globales, para que los usuarios se conecten al nodo más cercano y el tráfico se distribuya de forma natural. Los dominios de respaldo aíslan los puntos de entrada más atacados.

4. Reforzar desafíos y autenticación en la capa de aplicación: Añadir CAPTCHAs en endpoints anónimos, aplicar límites de velocidad tipo token bucket y controles de picos más granulares en claves API, y exigir comprobaciones de firma o cachés precalentadas para solicitudes de alto coste.

5. Coordinar con ISPs y proveedores de seguridad: Ajustar dinámicamente umbrales y patrones de filtrado, manteniendo la observabilidad y asegurando que métricas clave, logs y alertas sigan siendo eficaces.

6. Publicar actualizaciones de estado y alertas de riesgo para los usuarios: Por ejemplo, la página de estado de Gate puede informar sobre el alcance del impacto y los tiempos estimados de recuperación. Se recomienda a los usuarios establecer protección de precios y parámetros de riesgo al operar, para evitar errores durante la inestabilidad de la red.

Estrategia de defensa DDoS a largo plazo y consideraciones de costes

La defensa a largo plazo requiere un enfoque integral, combinando “desvío, absorción, filtrado y degradación” del tráfico. A nivel de red, es necesario desplegar redundancia de alto ancho de banda y mecanismos de limpieza en los puntos de entrada. La combinación de Anycast y Content Delivery Networks (CDNs) permite absorber picos de tráfico cerca de los usuarios; también conviene cerrar puertos de reflexión innecesarios o aplicar controles de acceso en servicios susceptibles de amplificación.

A nivel de aplicación, se recomienda implementar caché multinivel y separación de lectura/escritura, convertir en estáticos o precalcular los endpoints críticos, emplear firewalls de aplicaciones web (WAF) para detectar comportamientos anómalos, limitar APIs mediante token bucket con niveles de QPS por usuario y control de ráfagas, y ofrecer gateways privados, listas blancas y cuotas por origen para endpoints RPC.

Desde la perspectiva de ingeniería y organización: establecer simulacros y playbooks de respuesta que definan quién activa qué controles en cada situación, centrar la monitorización en SLOs (Service Level Objectives) críticos como disponibilidad, latencia p95 y tasas de error, y evaluar el beneficio marginal de reservas de ancho de banda, servicios de limpieza y redundancia de cómputo en función de los picos de negocio y la exposición al riesgo.

Puntos clave y recomendaciones de seguridad ante ataques DDoS

Los ataques DDoS no roban activos directamente, pero desestabilizan el trading y las consultas, amplificando el slippage, provocando errores operativos y aumentando el riesgo de latencia. Para los desarrolladores, es fundamental diseñar defensas en capas con antelación y establecer procedimientos de emergencia ágiles que abarquen tanto la red como la aplicación. Para los usuarios: si experimentan problemas de acceso anómalos, consulten las páginas de estado oficiales, utilicen únicamente portales de confianza como Gate, empleen parámetros de límite y riesgo al operar y eviten operaciones grandes o apalancadas durante interrupciones del servicio. Los informes del sector indican que tanto los ataques DDoS de gran volumen como los de capa de aplicación siguen aumentando en 2024, con picos de Tbps (fuentes: informes anuales y trimestrales de Cloudflare y Akamai). La preparación proactiva y los simulacros casi siempre resultan más rentables que la recuperación posterior al incidente.

FAQ

¿Por qué se denomina “distribuido” en denegación de servicio? ¿No puede atacar un solo ordenador?

El término “distribuido” hace referencia a ataques que parten de miles de dispositivos comprometidos, no de uno solo. El tráfico de un único ordenador es limitado y los firewalls pueden bloquearlo fácilmente. Pero cuando el tráfico malicioso se distribuye globalmente entre muchas máquinas, los defensores no pueden bloquear solo una IP. Esta naturaleza distribuida incrementa notablemente tanto el éxito como el sigilo del ataque.

¿Qué ocurre si mi monedero o cuenta es objetivo de un ataque DDoS?

Aunque un monedero o cuenta no suele verse comprometido por un ataque DDoS (es decir, los fondos no se roban directamente), los exchanges o plataformas de monedero pueden quedar fuera de línea, impidiendo operar o retirar activos. Retrasos severos en la red durante un ataque pueden provocar slippage o transacciones fallidas. En algunos casos, los atacantes pueden aprovechar esta ventana para otras actividades maliciosas. Se recomienda utilizar plataformas bien protegidas (como Gate) y habilitar la autenticación en dos factores.

¿Cuánto suele durar un ataque DDoS? ¿Cuándo se restablece el servicio?

La duración de un ataque DDoS puede variar entre minutos, horas o incluso días, según los objetivos de los atacantes y la capacidad de respuesta de los defensores. Los ataques de escala media suelen mitigarse en 30 minutos a 2 horas, mientras que los de gran escala pueden requerir varias horas para una recuperación completa. La protección profesional mediante CDN y los equipos de respuesta a incidentes pueden reducir significativamente el tiempo de inactividad.

¿Por qué los hackers lanzan ataques DDoS? ¿Cuáles son sus motivaciones?

Los hackers pueden lanzar ataques DDoS por diversos motivos: extorsión (exigiendo pagos de rescate), sabotaje por parte de competidores, agendas políticas o incluso simple diversión. En el sector cripto, los atacantes pueden tratar de impedir el lanzamiento de un exchange o proyecto, o aprovechar las caídas para otras actividades ilícitas. Comprender estas motivaciones ayuda a las organizaciones a adaptar sus estrategias defensivas de manera más efectiva.

¿Qué pueden hacer los usuarios para protegerse del impacto de un DDoS?

Aunque los ataques DDoS se dirigen principalmente a plataformas y no a usuarios individuales, es posible tomar precauciones: elegir exchanges con infraestructuras de protección robustas (como Gate), evitar grandes operaciones durante caídas o inestabilidad, habilitar la autenticación multifactor, monitorizar regularmente las cuentas ante actividad sospechosa y diversificar los activos entre diferentes plataformas para reducir la exposición global al riesgo.