Un vistazo a la infraestructura de seguridad de nivel empresarial de Alchemy

Cuando las empresas evalúan proveedores de infraestructura blockchain, la seguridad es un factor determinante en el proceso de decisión. Ya seas un servicio financiero que explora la integración con blockchain, una empresa Fortune 500 construyendo capacidades de activos digitales, o una empresa nativa de web3 escalando a nivel empresarial, la seguridad es crítica para el éxito de tu negocio y una responsabilidad innegociable frente a los clientes.

En Alchemy, entendemos estos requisitos a fondo. Nuestro equipo de seguridad está formado por profesionales que han trabajado en los entornos más exigentes del mundo: grandes bancos, instituciones financieras reguladas, proveedores de nube importantes, agencias federales y firmas de seguridad líderes. Diseñamos nuestro programa de seguridad para cumplir con los estándares que exigen los equipos de compliance empresarial, a la vez que ofrecemos el rendimiento y la confiabilidad que demandan las aplicaciones blockchain.

A continuación, un análisis detallado de cómo abordamos los desafíos de seguridad que más importan.

Nuestra base de seguridad

La organización de seguridad de Alchemy reúne tres capacidades centrales, esenciales para infraestructura de nivel empresarial:

• Experiencia en gestión de riesgos de servicios financieros, de equipos que han trabajado con instituciones reguladas y sus auditores
• Experiencia en operaciones a escala empresarial, asegurando infraestructura de alta disponibilidad que procesa miles de millones de solicitudes
• Capacidades integrales de defensa contra amenazas, que cubren detección, respuesta y mejora continua

Esta combinación nos permite ofrecer seguridad de infraestructura que cumple con los requisitos de compliance empresarial, al tiempo que soporta las necesidades de rendimiento de las aplicaciones blockchain modernas.

Por qué las organizaciones empresariales eligen Alchemy

La seguridad de nivel empresarial no se trata de una sola herramienta o certificación. Se trata de contar con personas con experiencia, procesos probados y sistemas puestos a prueba que funcionan en conjunto.

Cumplimos con tus requisitos de compliance:

• Certificación SOC 2 Type II
• Trust Center público con la documentación que tus auditores necesitan
• Controles diseñados para revisiones de seguridad empresarial
• Evidencia y registros de auditoría listos para examinación

Entregamos el rendimiento que exige web3:

• 99.99% de uptime durante condiciones de mercado extremas
• Rendimiento probado a escala empresarial para equipos como Kinexys by J.P. Morgan, Polymarket, y más
• Soporte para más de 100 redes blockchain
• Infraestructura global con conmutación por error automática

Escenarios reales que manejamos

Un proveedor crítico de infraestructura de terceros cae

El desafío: Cuando Cloudflare sufrió interrupciones en octubre de 2025, muchos servicios se vieron afectados. Las organizaciones construidas sobre arquitecturas de un solo proveedor no tuvieron alternativa: cuando su proveedor cayó, ellas cayeron con él.

Por qué esto importa: Diseñamos nuestra arquitectura pensando en resiliencia multi-proveedor desde el inicio. Nuestra infraestructura abarca múltiples proveedores de nube con conmutación por error automática, de modo que tu servicio se mantiene en línea incluso cuando dependencias importantes presentan problemas.

Ataque DDoS a nivel de aplicación

La amenaza: Atacantes intentaron saturar nuestro tier gratuito con registros falsos, en un evento real de DDoS a nivel de aplicación.

Nuestra respuesta:

• Declaramos un incidente y activamos a nuestro equipo de respuesta on-call
• Limitamos y bloqueamos regiones y redes abusivas
• Separamos usuarios legítimos de cuentas fraudulentas en tiempo real
• Identificamos y eliminamos todas las cuentas vinculadas a IPs maliciosas

El resultado: Los clientes se mantuvieron en línea, y el ataque se convirtió en una prueba que superamos, no en una interrupción del servicio.

Un actor estatal ataca tu infraestructura

La amenaza: Recientemente, fuimos blanco de una campaña vinculada a Corea del Norte durante la operación ClickFix/ClickFake. Se identificaron al menos 15 cuentas falsas de LinkedIn que se hacían pasar por empleados de Alchemy, como parte de un ataque coordinado en múltiples frentes.

Nuestra respuesta: Nuestro equipo de seguridad obtuvo acceso a un servidor activo de comando y control (C2), descargó el malware y lo analizó a fondo, convirtiendo un intento de compromiso en inteligencia accionable. Al hacer ingeniería inversa del malware, nuestro análisis reveló dominios C2 patrocinados por un estado, TTPs e IOCs previamente desconocidos y no públicos.

Por qué esto importa: Nuestras capacidades nos permiten generar nuestra propia inteligencia de amenazas personalizada, sin depender únicamente de indicadores ya conocidos. No solo nos defendemos: desarrollamos inteligencia que nos mantiene un paso adelante de las amenazas en evolución.

Se roban un laptop con claves de despliegue

Escenario hipotético: Se pierde o roba un laptop con credenciales de despliegue, un riesgo para el cual toda organización debe estar preparada.

Nuestros controles vigentes:

• Quién puede desplegar: Solo roles estrictamente acotados pueden acceder a las claves de despliegue; el acceso queda registrado, se revisa y es fácil de revocar.
• Qué hay en los laptops: Restringimos qué puede residir en los endpoints y monitoreamos datos sensibles mediante DLP.

Cómo responderíamos:

• EDR nos permite aislar de inmediato el dispositivo de la red para realizar análisis forense
• MDM nos permite bloquearlo y borrarlo de forma remota
• Podemos revocar sesiones y rotar las claves asociadas a ese usuario
• Los laptops están cifrados
• Los controles de zero trust garantizan el estado del dispositivo y los requisitos de red

La diferencia: Con Alchemy, obtienes esto por defecto: dispositivos reforzados, acceso controlado y respuesta a incidentes ya probada. Con la mayoría de las configuraciones propias o heredadas, a menudo no se sabe con certeza quién tiene qué claves en qué laptop.

Intento de phishing a una cuenta de GitHub

Nuestra defensa:

• Primera capa: Educación continua a los empleados y monitoreo de inicios de sesión sospechosos. Esta es nuestra línea de defensa principal.
• Segunda capa: SSO habilitado para todas las cuentas de GitHub a través de Okta, lo que significa que nuestra infraestructura de SSO tendría que verse comprometida para que las cuentas de GitHub específicas de Alchemy pudieran ser víctimas de phishing, lo que añade una capa crítica de protección.

Revisa nuestro programa de seguridad

Invitamos a los equipos de seguridad y compliance empresarial a revisar nuestro programa de seguridad en detalle:

Visita nuestro Trust Center y revisa nuestros controles de seguridad y documentación de compliance.

Contáctanos sobre requisitos de seguridad específicos, necesidades de compliance, consideraciones regulatorias o arquitectura técnica.

Preguntas frecuentes

¿Qué certificaciones de seguridad tiene Alchemy?

Alchemy cuenta con certificación SOC 2 Type II y un Trust Center público que ofrece documentación, controles, evidencia y registros de auditoría diseñados para revisiones de seguridad empresarial.

¿Cómo logra Alchemy un alto uptime para las aplicaciones blockchain?

Ofrecemos 99.99% de uptime durante condiciones de mercado extremas mediante infraestructura global con conmutación por error automática entre múltiples proveedores de nube, garantizando la continuidad del servicio incluso cuando dependencias importantes presentan problemas.

¿Qué controles de acceso implementa Alchemy?

Usamos Single Sign-On (SSO) a través de Okta con Control de Acceso Basado en Roles (RBAC), garantizando un acceso estrictamente acotado que se registra, revisa y revoca fácilmente.

¿Cómo respondió Alchemy al reciente ataque de un actor estatal?

Durante una campaña ClickFix/ClickFake vinculada a Corea del Norte, el equipo de seguridad de Alchemy obtuvo acceso a un servidor activo de comando y control, descargó e hizo ingeniería inversa del malware, y descubrió dominios C2, TTPs e IOCs patrocinados por un estado, previamente desconocidos.

¿Qué protecciones tiene Alchemy contra el robo o pérdida de laptops?

Usamos laptops cifrados con detección y respuesta de endpoints (EDR) para aislamiento instantáneo de red, gestión de dispositivos móviles (MDM) para bloqueo y borrado remoto, controles de zero trust y acceso estrictamente acotado a las claves de despliegue, que puede revocarse de inmediato.

¿Cómo maneja Alchemy los ataques DDoS?

En un ataque real de DDoS a nivel de aplicación sobre el tier gratuito, el equipo de Alchemy declaró un incidente, limitó y bloqueó regiones y redes abusivas, separó usuarios legítimos de cuentas fraudulentas en tiempo real, y eliminó todas las cuentas maliciosas, manteniendo a los clientes en línea durante todo el proceso.

¿Qué hace que el equipo de seguridad de Alchemy esté calificado para los requisitos empresariales?

El equipo de seguridad de Alchemy está compuesto por profesionales con experiencia en grandes bancos, instituciones financieras reguladas, proveedores de nube importantes, agencias federales y firmas de seguridad líderes, combinando gestión de riesgos de servicios financieros, operaciones a escala empresarial y capacidades integrales de defensa contra amenazas.

¿Cómo protege Alchemy contra intentos de phishing en GitHub?

Alchemy exige SSO para todas las cuentas de GitHub a través de Okta, lo que significa que la infraestructura de SSO tendría que verse comprometida para que las cuentas de GitHub pudieran ser víctimas de phishing, además de la educación continua a empleados y el monitoreo de inicios de sesión sospechosos como capa principal de defensa.