SlowMist identifica una vulnerabilidad de seguridad que podría exponer las claves privadas

La firma de seguridad blockchain SlowMist ha identificado una vulnerabilidad en una biblioteca criptográfica de JavaScript muy utilizada que podría exponer las claves privadas de los usuarios a los atacantes.

La vulnerabilidad de seguridad afecta a la popular biblioteca "elliptic", que proporciona funciones de criptografía de curvas elípticas para varias billeteras de criptomonedas, sistemas de identidad y aplicaciones Web3.

Según el análisis de SlowMist, la vulnerabilidad proviene del manejo defectuoso de entradas no estándar durante las operaciones de firma. Este flujo puede llevar a la repetición de números aleatorios en las firmas ECDSA. Dado que la seguridad de estas firmas depende totalmente de la unicidad de estos valores aleatorios, cualquier repetición permite a los atacantes derivar matemáticamente la clave privada.

La vulnerabilidad permite la extracción de la clave privada con interacción mínima

La razón de la falla radica en cómo la biblioteca elliptic genera lo que los criptógrafos llaman el "valor k". Este es un número aleatorio que nunca debe reutilizarse en diferentes firmas. El análisis de SlowMist revela que los atacantes pueden crear entradas específicas que engañan a la biblioteca para que reutilice este valor. "Al generar k, se utilizan la clave privada y el mensaje como semillas para garantizar la unicidad bajo diferentes entradas", explica el informe de SlowMist.

Esta falla crea un vector de ataque peligroso porque requiere una interacción mínima con las víctimas. Un atacante solo necesita observar una firma legítima y luego engañar al objetivo para que firme un mensaje especialmente elaborado. Al comparar estas dos firmas, el atacante puede derivar matemáticamente la clave privada de la víctima utilizando una fórmula relativamente simple.

La adopción generalizada pone en riesgo numerosas aplicaciones Web3

El uso de la biblioteca elliptic por parte de la comunidad de JavaScript hace que el impacto potencial de la vulnerabilidad sea mayor. SlowMist indica que la vulnerabilidad está presente en todas las versiones hasta la 6.6.0 y afecta a aplicaciones que utilizan varias curvas elípticas.

Cualquier aplicación que realice firmas ECDSA en entradas proporcionadas externamente está en riesgo. Esto podría incluir billeteras de criptomonedas, aplicaciones de finanzas descentralizadas (DeFi), plataformas de NFT y aplicaciones de autenticación de identidad basadas en Web3.

El uso de la biblioteca en el espacio de las monedas digitales conlleva una superficie de ataque. Si la clave privada se ve comprometida, los atacantes tienen control total sobre los activos correspondientes. Los hackers pueden realizar transferencias no autorizadas, alterar los registros de propiedad o suplantar a los usuarios en aplicaciones descentralizadas.

SlowMist también ha publicado algunas sugerencias de emergencia para que los usuarios y desarrolladores mitiguen la amenaza de seguridad. Los desarrolladores deben, ante todo, actualizar la biblioteca elliptic a la versión 6.6.1 o superior, ya que la vulnerabilidad ha sido abordada oficialmente en la versión más reciente.

Además de actualizar la biblioteca, SlowMist recomienda a los desarrolladores incluir más precauciones de seguridad dentro de sus aplicaciones. Para los usuarios de la aplicación afectada, la mayor preocupación es si sus claves privadas ya podrían estar en riesgo. SlowMist recomienda que los usuarios que hayan firmado posiblemente mensajes maliciosos o desconocidos tomen la precaución de reemplazar sus claves privadas.

Los ataques de phishing disminuyen a medida que las vulnerabilidades técnicas toman el protagonismo

Aunque la detección de SlowMist indica amenazas por vulnerabilidades tecnológicas, las cifras de Scam Sniffer indican que los ataques de phishing convencionales han disminuido durante tres meses consecutivos. En febrero de 2025, 7.442 víctimas perdieron 5,32 millones de dólares. Esto representa una caída del 48% respecto a los 10,25 millones de dólares de enero y una caída del 77% respecto a los 23,58 millones de dólares de diciembre.

🧵 [1/4] 🚨 Informe de Phishing de ScamSniffer de febrero 2025

Pérdidas de febrero: $5.32M | 7,442 víctimas
Pérdidas de enero: $10.25M | 9,220 víctimas
(-48% intermensual) pic.twitter.com/HsZZSlYKJC

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 5 de marzo de 2025

Aunque esta tendencia a la baja es evidente, varios vectores de ataque siguen siendo extremadamente potentes. Los ataques de permiso de asignación, donde los hackers crean direcciones de billetera visualmente indistinguibles de las legítimas, resultaron en la mayor pérdida individual de 771.000 dólares en ETH.

Los ataques basados en permisos estuvieron muy cerca, con pérdidas de 611.000 dólares, seguidos de aprobaciones de phishing no revocadas en BSC por valor de 610.000 dólares en fondos malversados. Las explotaciones de IncreaseApproval completaron los principales vectores de ataque con pérdidas por valor de 326.000 dólares en ETH.