BitGo parchea vulnerabilidad en las billeteras calientes ETH TSS de lanzamiento anticipado

BitGo, un proveedor de servicios de billeteras de criptomonedas, parcheó una vulnerabilidad identificada en sus billeteras Threshold Signature Scheme (TSS) de Ethereum y ERC-20 recientemente lanzadas. Un anuncio inicial de las billeteras calientes ETH TSS se realizó el 31 de octubre de 2022, con la promesa de menores tarifas de gas para los usuarios. Los desarrolladores de BitGo en Github transmitieron una actualización el 9 de diciembre de 2022, señalando que el servicio no tenía un soporte completo para la verificación de terceros de las acciones de claves y las acciones de firma.

La empresa de infraestructura blockchain Fireblocks afirmó que habían identificado y notificado a BitGo sobre la vulnerabilidad en diciembre de 2022. El comunicado de prensa de Fireblocks dijo que la vulnerabilidad podría haber expuesto las claves privadas de exchanges, bancos, empresas y usuarios de la plataforma.

Sin embargo, BitGo ha negado estas afirmaciones de Fireblocks a través de un artículo de blog, destacando que su propio equipo de desarrolladores ya había identificado la falta de verificación de terceros, y estaba en su lista de tareas pendientes según lo indicado en la documentación de GitHub. En un mensaje a Cryptopolitan para aclarar el problema, el proveedor de servicios de billeteras enfatizó que los fondos de los usuarios o las claves privadas nunca estuvieron en riesgo de ser comprometidos o divulgados a través de la vulnerabilidad.

BitGo desestima la divulgación de Fireblock

Cryptopolitan entiende que los clientes de BitGo no estaban utilizando activamente el tipo de billetera MPC para almacenar activos de criptomonedas en el momento en que se descubrió la vulnerabilidad. Sin embargo, 20 desarrolladores, incluidos empleados y colaboradores de BitGo, tenían acceso a la billetera en acceso anticipado, y los ingenieros de Fireblocks pudieron realizar pruebas debido a la naturaleza de código abierto del código de la billetera central de BitGo.

BitGo había revelado previamente la falta de verificación de terceros de las acciones de claves y firmas el año pasado, pero la respuesta de la compañía a las afirmaciones de Fireblocks fue menos que complaciente. En el artículo de blog, BitGo se refirió a Fireblocks como un "competidor" que intenta convertir una "brecha conocida en un acto publicitario".

Fireblocks afirmó que la vulnerabilidad permitiría a los atacantes potenciales extraer rápidamente una clave privada usando una pequeña cantidad de código JavaScript. La compañía dijo que identificaron la explotación usando una cuenta gratuita de BitGo en mainnet y revelaron que una parte faltante de las pruebas de conocimiento cero obligatorias en el protocolo ECDSA TSS wallet de BitGo permitió al equipo exponer la clave privada a través de un ataque simple.

BitGo refutó estas afirmaciones diciendo que suspendieron el servicio vulnerable el 10 de diciembre de 2022 y lanzaron un parche en febrero de 2023 que requería actualizaciones del lado del cliente a la última versión para el 17 de marzo. Revelaron que solo la billetera de acceso anticipado estaba afectada, la cual ninguno de sus clientes está utilizando actualmente.

Las plataformas empresariales de activos de criptomonedas de grado estándar de la industria utilizan ya sea tecnología MPC o de múltiples firmas para eliminar la posibilidad de un punto único de ataque. Esto se hace distribuyendo una clave privada entre múltiples partes para garantizar controles de seguridad si una parte es comprometida.

La industria de las criptomonedas ha enfrentado muchos hackeos. Cryptopolitan recientemente reveló el hackeo a Euler Finance que resultó en la pérdida de grandes fondos. En agosto de 2022, se robaron más de $8 millones de más de 7,000 billeteras en la blockchain de Solana. Mientras tanto, un hackeo separado del servicio de billetera MyAlgo en la red Algorand vio cómo se desviaban más de $9 millones de numerosas billeteras bien conocidas.