Las mayores explotaciones de DeFi en Web3: cómo prevenir brechas de seguridad similares

Los protocolos de finanzas descentralizadas (DeFi) ofrecen servicios financieros descentralizados a los usuarios, permitiéndoles realizar transacciones y celebrar acuerdos con otros participantes. Si bien los protocolos DeFi buscan proporcionar una plataforma segura y confiable para sus usuarios, varias explotaciones en los últimos años han causado pérdidas significativas de fondos. Este artículo discutirá algunas de las explotaciones DeFi más extensas que han ocurrido recientemente.

Estas son las 8 principales explotaciones de criptomonedas DeFi en Web3 después de deducir los fondos devueltos:

Cadena Ronin – $600m

Marzo de 2023 fue un mes ajetreado para el espacio de las criptomonedas, con el hackeo del puente Ronin de Axie Infinity encabezando la lista con 612 millones de dólares.

El puente Ronin es una cadena lateral de Ethereum utilizada en el popular juego play-to-earn Axie Infinity.

El grupo de cibercrimen Lazarus, sospechoso de tener conexiones con Corea del Norte, logró acceder a las claves privadas de nueve validadores de transacciones, lo que les permitió aprobar dos grandes transacciones y mover los fondos desde su dirección de billetera. Afortunadamente, una colaboración entre autoridades, empresas de seguridad y exchanges de criptomonedas pudo ayudar a rastrear parte de estos fondos después de que los hackers los llevaran a Tornado Cash, un mezclador de criptomonedas de código abierto, y otros exchanges.

Puente Wormhole – $323m

En febrero de 2022, ocurrió un incidente desafortunado cuando los hackers de criptomonedas explotaron el código de un wormhole para huir con criptomonedas valoradas en 326 millones de dólares.

Un wormhole es un puente de tokens entre Solana y Ethereum, que lamentablemente no logró prevenir el ataque. Fue posible gracias a una función insegura obsoleta/muerta que omitía la verificación de firmas y permitía la cadena de delegaciones de firmas.

Los expertos en ciberseguridad sugieren que los desarrolladores podrían haber prevenido el ataque si hubieran practicado «buenas prácticas de codificación segura», donde deben verificar todos los parámetros. La verificación podría haber asegurado la autenticación de direcciones válidas y, por lo tanto, descartado fuentes ilegítimas que acceden a activos en la cadena.

Beanstalk – $181m

En un fatídico fin de semana de abril de 2022, un hacker lanzó un ataque que sacudió a la comunidad cripto. Usando un préstamo flash, una característica de los protocolos de finanzas descentralizadas (DeFi), lograron robar 182 millones de dólares en ETH, la stablecoin BEAN y otros activos del protocolo stablecoin Beanstalk.

Los hackers presentaron dos propuestas maliciosas al DAO de Beanstalk a través de su función de compromiso de emergencia, que requiere ⅔ de votos antes de la implementación después de 24 horas. El atacante utilizó la tecnología de préstamo flash para controlar el 79 % de los tokens y aprobar ambas propuestas, ejecutando su plan con éxito.

Los fondos se enviaron desde dentro del protocolo para pagar el préstamo flash, con el remanente yendo a una dirección asociada con un fondo de emergencia con sede en Ucrania. En total, hasta 76 millones de dólares han sido tomados por la persona responsable de este valiente acto.

Nomad – $155m

La desconcertante explotación del puente Nomad hizo titulares cuando ocurrió el 1 de agosto de 2022. Sorprendió a muchos entusiastas de blockchain ya que los atacantes aprovecharon una vulnerabilidad para drenar más de 190 millones de dólares en activos basados en Ethereum almacenados en el puente cruzado multicanal.

Los hackers se movieron rápida y furiosamente, con cientos de billeteras involucradas en 960 transacciones que resultaron en 1.175 retiros individuales del Valor Total Bloqueado (TVL) del puente. Todo en cuestión de horas.

Un aspecto desconcertante de esta explotación fue que todo lo que los usuarios tenían que hacer para hackear los fondos del puente era copiar y pegar los datos de llamada de transacción del hacker original, reemplazar la dirección original con una personal, y la transacción se completaría.

La explotación envió ondas de choque por toda la comunidad de finanzas descentralizadas (DeFi), demostrando que los hackers siguen un paso por delante al explotar lagunas en el código. El puente Nomad proporciona un ejemplo ilustrativo que demuestra la importancia de las buenas prácticas de codificación segura y refuerza por qué la seguridad sigue siendo un desafío continuo para los proyectos de blockchain hoy en día.

CREAM Finance – $130.8m

Aunque el ataque a CREAM en octubre de 2021 fue uno de los mayores robos con préstamos flash, ciertamente no fue un incidente aislado. Los ataques de préstamo flash implican usar un «préstamo flash» de liquidez, pedir prestado y no pagar este financiamiento rápido, todo dentro de una sola transacción.

Al explotar errores de cálculo de precios, los hackers pueden obtener ganancias rápidamente de sus préstamos. Por ejemplo, en el caso de CREAM, dos direcciones diferentes interactuaron con su yUSDVault para acuñar una gran cantidad de tokens crYUSD. Explotaron una vulnerabilidad que duplicaría el valor de estas acciones. Aunque lograron asegurar fondos por valor de 130 millones de dólares, los ~1.000 millones de dólares en garantía disponible podrían tomar mucho más que esta cantidad. 

Los ataques de préstamo flash son cada vez más prevalentes, y la comunidad debería hacer preguntas sobre cómo pueden prevenir futuras brechas de seguridad en el futuro.

Hub de tokens BSC – $127m

En octubre de 2022, hackers que explotaban una vulnerabilidad crítica en el código del puente cruzado BSC Beacon se llevaron activos cripto por un total de 570 millones de dólares.

La cadena BSc Beacon, también conocida como Token Hub, es un puente inter-cadena que conecta la cadena BNB Beacon (BEP2) y la cadena BNB (BEP20/BSC).

El hacker falsificó pruebas criptográficas llamadas pruebas Merkle destinadas a confirmar la validez de datos como transacciones. A su vez, utilizaron estas falsas pruebas Merkle para transferir fondos del puente cruzado BSC Beacon a otras cadenas.

Tan pronto como Tether bloqueó la dirección de los atacantes, siguió una acción rápida con más de 7 millones de dólares movidos desde la cadena BNB congelada, confiscando la mayor parte de sus fondos mal adquiridos.

Harmony Horizon – $100m

En junio de 2022, el proyecto Harmony Horizon Bridge fue comprometido cuando los hackers robaron dos de sus cinco claves privadas de validadores, permitiendo a los estafadores transferir 100 millones de dólares en tokens.

Este problema de seguridad se debió a la forma en que se había configurado el puente, con un esquema de validación 2 de 5. Como resultado, el atacante solo necesitaba dos aprobaciones para que cualquier transacción maliciosa fuera validada. Para cubrir sus rastros, los atacantes usaron Tornado Cash para lavar parte de sus ganancias mal adquiridas. 

Aunque esta configuración pudo parecer segura inicialmente, resultó ser un objetivo lucrativo para actores malintencionados y una lección costosa en seguridad blockchain para aquellos que fueron atrapados.

Rari- $91 m

Los ataques de reentrada han existido desde los primeros días de Ethereum. Han utilizado vulnerabilidades de contratos para retirar fondos repetidamente antes de que la transacción original sea aprobada o rechazada.

En mayo de 2022, dos plataformas de finanzas descentralizadas fueron comprometidas de esta manera, con hackers robando 90 millones de dólares. Jack Longarzo de Rari Capital dijo que el atacante explotó a la empresa, y Fei Protocol, que se fusionó con Rari Capital, ofreció una recompensa de 10 millones de dólares al hacker.

La empresa de seguridad blockchain BlockSec explicó que los hackers utilizaron una vulnerabilidad de reentrada. 

Los desarrolladores pueden prevenir este tipo de ataques probando y auditando adecuadamente los contratos antes de su implementación en la blockchain de Ethereum.

Cómo protegerse de las explotaciones DeFi

Los protocolos DeFI se han vuelto cada vez más populares y complejos, lo que los convierte en objetivos atractivos para los hackers. Las siguientes son siete consejos para ayudarte a protegerte de las explotaciones DeFI:

1. Realiza una debida diligencia exhaustiva en cualquier proyecto antes de invertir. Verifica el código de la plataforma, el sitio web, los miembros del equipo y los canales sociales en busca de señales de alerta.
2. Asegúrate de que una fuente confiable audite los contratos con los que interactúas y que los resultados de la auditoría estén disponibles públicamente.
3. No almacenes grandes cantidades de fondos en un solo contrato DeFI, lo que lo hace más vulnerable al ataque.
4. Mantente actualizado con las últimas noticias de seguridad para enterarte de nuevas explotaciones.
5. Implementa procedimientos adecuados de autenticación y autorización para todas las cuentas que interactúan con protocolos DeFI.
6. Asegúrate de que tu billetera sea segura y usa la autenticación de dos factores siempre que sea posible.
7. Monitorea regularmente tus fondos y transacciones en la blockchain para detectar cualquier actividad sospechosa o retiros no autorizados.

Seguir estos consejos puede ayudarte a protegerte de las explotaciones DeFI y asegurar que tus fondos estén seguros al interactuar con protocolos de finanzas descentralizadas. Sin embargo, también es importante recordar que ningún sistema es infalible, por lo que siempre es una buena práctica tomar precauciones adicionales al tratar con activos digitales.

Conclusión

En general, la seguridad es una de las consideraciones más importantes al tratar con criptomonedas y protocolos DeFI. Desafortunadamente, a medida que la industria continúa creciendo, también lo hacen los riesgos de actividad maliciosa. Si bien es imposible garantizar una seguridad total, seguir estos consejos puede ayudarte a protegerte de las explotaciones DeFI y mantener tus fondos seguros. 

Manteniéndote al día con los últimos desarrollos en seguridad blockchain y asegurando que los procedimientos de autenticación adecuados estén en su lugar para todas las cuentas, puedes ayudar a garantizar que tus activos digitales permanezcan seguros.