La firma Web3 Thirdweb descubre una falla de seguridad importante en contratos inteligentes

Thirdweb, un actor destacado en el desarrollo de contratos inteligentes para el ecosistema Web3, identificó recientemente una vulnerabilidad de seguridad significativa. Este descubrimiento ha generado preocupaciones en toda la industria Web3, ya que potencialmente afecta a una amplia gama de contratos inteligentes utilizados en diversas aplicaciones.

Los contratos afectados abarcan diversos dominios, incluidos juegos, acuñación, mercados y carteras. Cabe destacar, según una publicación en el blog, que esta vulnerabilidad se encontró en una biblioteca de código abierto muy utilizada, crucial para el funcionamiento de estos contratos inteligentes.

Thirdweb ha decidido no revelar el nombre de la biblioteca de código abierto que fue la fuente de la vulnerabilidad ni proporcionar información sobre la naturaleza del problema debido a su aparente gravedad. OpenZeppelin, una popular biblioteca de código abierto para contratos inteligentes, ha declarado que el problema no está relacionado con su repositorio.

A pesar de la gravedad de la vulnerabilidad, la exhaustiva investigación de Thirdweb reveló que, por suerte, no ha habido casos de explotación hasta la fecha. Este hallazgo proporciona una ventana crucial para que las empresas Web3 implementen medidas preventivas y aseguren sus sistemas contra posibles brechas. La vulnerabilidad afecta a varios contratos preconstruidos, notablemente los estándares DropERC20, ERC721 y ERC1155, entre otros. Es necesaria una acción inmediata para mitigar los riesgos asociados con estos contratos.

Medidas proactivas de Thirdweb y orientación a la comunidad

En respuesta a la vulnerabilidad, Thirdweb ha emitido una advertencia urgente a su base de usuarios, especialmente a aquellos que desplegaron contratos antes del 22 de noviembre. La empresa está guiando a los desarrolladores y usuarios para que tomen medidas de mitigación independientes. Esto incluye el uso de herramientas proporcionadas por Thirdweb o el empleo de soluciones como revoke.cash, según recomienda el desarrollador de DefiLlama “0xngmi”. Estos pasos son esenciales para los usuarios que puedan optar por no actualizar sus contratos inmediatamente.

Además, Thirdweb ha contactado a los mantenedores de la biblioteca de código abierto afectada y a otros equipos que el problema podría impactar. Para reforzar sus protocolos de seguridad, Thirdweb ha duplicado sus pagos por hallazgos de errores (bug bounties), aumentándolos de 25.000 a 50.000 dólares. Este aumento significativo subraya el compromiso de la empresa con el fortalecimiento de sus medidas de seguridad y la garantía de la seguridad de sus herramientas de despliegue de contratos inteligentes. Además, se está implementando un proceso de auditoría más riguroso para mejorar la seguridad general.

Acciones reactivas para salvaguardar el ecosistema Web3

La divulgación de esta vulnerabilidad ha provocado una oleada de respuestas de varios actores de la industria. Mercados de NFT destacados como OpenSea y Rarible, así como la red de escalado de capa 2 de Ethereum Base, han reconocido el impacto potencial en sus plataformas y están trabajando para ayudar a los propietarios de colecciones afectadas. 

Coinbase, otra entidad importante en el sector, reveló que algunas colecciones en su plataforma de NFT están afectadas. En contraste, la startup de contratos inteligentes Manifold confirmó que sus contratos no se ven afectados.

Proyectos prominentes como Cool Cats y Mocaverse de Animoca Brands han tomado medidas para migrar sus colecciones de NFT a nuevos contratos, asegurando la seguridad de sus activos.