Se encuentran problemas de seguridad en la solución L2 de Ethereum Blast: Resonance Security

Blast, la nueva solución de Capa 2 (Layer 2) de Ethereum, tiene algunos problemas de seguridad, según una investigación informe de la empresa de ciberseguridad Resonance Security. Blast ha ganado rápidamente tracción en la industria de las criptomonedas. Promete puntos, airdrops, premios mayores, rendimientos de staking nativo y compartición de ingresos por gas. Pero Resonance dice que Blast debería mejorar sus medidas de seguridad.

Desde su anuncio hasta su lanzamiento, Blast aceptó depósitos de ETH a través de un puente de un solo sentido. Esto permitió a los usuarios acumular rendimientos nativos y Puntos Blast, prometiendo a los primeros adoptadores el acceso a un futuro airdrop. 

A pesar de las críticas de importantes inversores como Paradigm, esta estrategia impulsó la popularidad de Blast. Atrajo 600 millones de dólares en su primera semana, superando los 1.000 millones de dólares para enero de 2024. Hasta ahora, el valor total bloqueado (TVL) de Blast está en 3.16 mil millones de dólares, convirtiéndolo en el cuarto L2 EVM más grande.

Los usuarios pueden depositar ETH en Blast a cambio de tokens L2 líquidos. El ETH depositado se pone en staking en pools de staking de Lido a través de contratos inteligentes de Blast, generando una tasa de interés del 4%. 

Para las stablecoins, los usuarios las transfieren a Blast para obtener USDB, la stablecoin oficial de Blast, que genera rendimientos a través del protocolo de bonos del Tesoro de MakerDAO con una tasa de interés del 5%. USDB se puede canjear por DAI cuando se transfiere de vuelta a Ethereum.

Blast Gold se otorga a las dApps construidas en la cadena, premiándolas por usar características nativas de Blast, y se distribuye manualmente cada 2-3 semanas o durante eventos de premios mayores.

Blast hereda problemas de seguridad

Según Resonance, la dependencia de Blast en protocolos DeFi de terceros como Lido y MakerDAO introduce riesgos potenciales. Si alguno de los pools o protocolos que generan rendimientos en estas plataformas se ve comprometido, los tokens asociados de los usuarios de Blast también se verán afectados. Esta dependencia de la seguridad de Lido y MakerDAO para proteger los fondos de los usuarios podría llevar a problemas financieros para los usuarios de Blast.

Anteriormente, HTX Square señaló indicó que el contrato LaunchBridge de Blast (0x5f…a47d) no es un puente rollup, sino un "contrato custodio protegido por una dirección multisig 3/5". Jarrod Watts de Polygon Labs también planteó preocupaciones sobre estas direcciones multisig, diciendo que son de creación reciente y sus propietarios son desconocidos. 

CryptoHopper cuestionó la afirmación de Blast de ser una L2, declarando: "Blast carece de las pruebas de validez necesarias para una raíz de estado L2 y no tiene un mecanismo antifraude en su lugar". Resonance cree que el Resumen de Riesgos de Blast corrobora aún más estas preocupaciones.

Resonance también investigó los protocolos de seguridad de Lido y MakerDAO. MakerDAO no ha publicado un auditoría de seguridad de sus contratos inteligentes en tres años, con algunas auditorías que se remontan a cinco años. 

Esto es preocupante porque los contratos inteligentes pueden ser susceptibles a vulnerabilidades recién descubiertas y deberían ser auditados periódicamente. Resonance afirma que una consulta rápida de CVEs de contratos inteligentes en la Base de Datos Nacional de Vulnerabilidades (NIST) devolvió 584 registros publicados entre 2018 y 2024. Aunque los contratos específicos pueden no ser susceptibles a todos estos CVEs, es probable que lo sean a algunos.

Mantener la seguridad de los contratos inteligentes requiere un enfoque multifacético, incluidas auditorías de seguridad previas al despliegue y periódicas, así como programas de recompensa por errores (bug bounties).

"La comunicación regular y las pruebas de seguridad conjuntas también pueden ayudar a validar estos estándares y mejorarlos con el tiempo."

Resonance Security

Los proyectos más pequeños deben ser meticulosos al elegir sus proveedores de terceros. La evaluación proactiva de las opciones de terceros para estándares de seguridad estrictos puede ahorrar a los proyectos muchos dolores de cabeza a largo plazo. Si las opciones de terceros no cumplen con los estándares requeridos por un proyecto, desarrollar soluciones internas podría ser una alternativa más segura. Siempre y cuando el proyecto tenga los recursos para hacerlo. 

Esto permite un control total sobre la seguridad. Formar asociaciones o alianzas con otros proyectos puede ayudar a abogar colectivamente por mejores prácticas de seguridad con proveedores de terceros más grandes. Un frente unido tendrá más influencia que los esfuerzos individuales, dijo Resonance.

Jai Hamid