¿Qué fallos en la seguridad de Web3 fueron expuestos por el hackeo de KelpDAO?
- Los incidentes de seguridad en Web3 revelaron que las aplicaciones rara vez interactúan directamente con las cadenas, sino que dependen de datos RPC.
- La capa de datos puede estar defectuosa o censurada, lo que genera una disparidad entre los datos de una aplicación y los saldos en la cadena.
- La seguridad en Web3 es una cuestión de velocidad, y los protocolos deben automatizar la reacción ante transacciones sospechosas.
El hackeo de KelpDAO mostró varias líneas de falla en la seguridad de Web3. El mayor problema fue que las blockchains ejecutaron impecablemente transacciones basadas en datos defectuosos.
La seguridad de Web3 sigue siendo prioritaria como medio para reconstruir la confianza en los protocolos DeFi. El hackeo de KelpDAO tuvo repercusiones duraderas para los préstamos DeFi y planteó cuestiones sobre cómo intensificar la seguridad de Web3.
La reciente ola de hackeos en abril puede llevar a las aplicaciones a reevaluar la forma en que acceden a los datos y permiten transacciones. Hackeos similares continuaron en mayo, con una pérdida de $930K en lo que va del mes. Recientemente, Bisq Protocol perdió $858K debido a una lógica de protocolo defectuosa y un ataque de cliente falso, según DeFiLlama datos.
Las aplicaciones de Web3 tienen un problema de verificación de datos
Según Victor Fei de Ormilabs, el hackeo de KelpDAO es un ejemplo claro de cómo una aplicación puede seguir funcionando, incluso si el estado de la blockchain no corresponde con los datos.
Fei explicó que las aplicaciones no siempre consultan directamente la blockchain. En su lugar, dependen de intermediarios como los nodos RPC, en lugar de datos on-chain en bruto. Esto es un requisito para Ethereum y otras cadenas más antiguas, que ya no son viables para acceder directamente para la mayoría de las aplicaciones.
Con una fuente de datos limitada, un puente solo puede confiar en un pequeño conjunto de nodos RPC. Cuando algunas fuentes están comprometidas o no están disponibles, la aplicación puede operar con datos incorrectos, mientras que la cadena subyacente seguirá contando las transacciones como válidas.
La mayoría de las aplicaciones modernas de Web3 no acceden a la cadena directamente, sino que dependen de alguna forma de indexación para obtener información relevante. La indexación puede mostrar datos defectuosos o convertirse en un vector de ataque directo.
El exploit de KelpDAO reveló esta vulnerabilidad en su totalidad. El proceso de verificación confiaba en un número limitado de fuentes RPC, y los atacantes secuestraron algunas de esas fuentes. Con una capa de datos defectuosa, la blockchain procesó las transacciones como de costumbre y gastó monedas reales a cambio de un saldo falso.
El problema se vuelve aún más grave si se permite que los agentes de IA actúen basándose en una capa de datos limitada y potencialmente defectuosa.
¿Qué puede aumentar la seguridad de Web3?
El mayor defecto en KelpDAO, Drift Protocol, y otros hackeos recientes es la velocidad de ejecución. La mayoría de las transacciones ocurrieron inmediatamente y se finalizaron en el siguiente bloque, sin período de enfriamiento ni verificaciones adicionales. Web3 ha publicitado su capacidad para transacciones rápidas y sin permisos, pero también permite que los actores malintencionados ejecuten su robo con rapidez.
“El futuro de la seguridad de Web3 se reduce a la velocidad. Nuestros datos muestran que los hackeos y el lavado de dinero son rápidos y baratos, mientras que la respuesta de los equipos es lenta y costosa,” comentó Vladyslav Syrotin, Jefe de Investigaciones en Global Ledger para Cryptopolitan.
Syrotin cree que los proyectos de Web3 deberían reducir su tiempo de detección para captar salidas inusuales, caídas repentinas de liquidez o llamadas sospechosas a contratos inteligentes.
Según Syrotin, las alertas y los bloqueos deben automatizarse dentro de un segundo después de un ataque, y los informes de las víctimas y la etiquetación de datos deben estar listos dentro de 10 minutos. Actualmente, toma horas o días contabilizar las pérdidas totales y rastrear los clústeres de billeteras de los atacantes.
Syrotin añadió que incluso un marco de tiempo más lento, con alertas de 30 segundos y etiquetado en cuatro horas, puede ayudar a prevenir alrededor de la mitad de los incidentes y reducir las pérdidas.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
