Entrevista: Por qué los hackers continúan atacando los protocolos DeFi, soluciones

Resumen TL;DR

• La frecuencia con la que los hackers atacan las criptomonedas y los protocolos DeFi continúa aumentando.
• Más de $7 mil millones perdidos por ataques a la industria cripto en 2021.
• Por qué los hackers continúan apuntando a la industria Cripto.

La frecuencia con la que los hackers atacan el espacio DeFi y la industria de las criptomonedas en general ha continuado siendo una fuente de preocupación para la industria.

Reportadamente, 169 incidentes de hacking de blockchain han tenido lugar en 2021, con casi $7 mil millones en fondos perdidos por los hackers. Durante el último mes, se reportaron no menos de cinco casos de hackeo de criptomonedas, con el protocolo DeFi Cream Finance siendo el último en ser atacado por estos hackers. Se dice que se robaron más de $130 millones.

En respuesta a esto, Cryptopolitan habló con Dmitry Mishunin, CEO y Fundador de HashEx, una empresa de I+D enfocada en la integración de blockchain en procesos empresariales y ciberseguridad. Dmitry tiene una sólida formación técnica en ciberseguridad y aplicaciones descentralizadas, así como una impresionante experiencia en el desarrollo de sistemas de seguridad de la información.

A continuación se presentan extractos de la entrevista

P: ¿Le sorprende el número de hackeos y exploits que los usuarios están enfrentando últimamente?

Desafortunadamente, no. Estamos viendo que cada vez más personas están escribiendo sus contratos inteligentes. Pero a menudo no tienen suficiente conocimiento de programación y una buena comprensión de Solidity, actualmente el único lenguaje de programación compatible con Ethereum. Tener una buena comprensión del lenguaje de programación es esencial para crear un protocolo DeFi confiable, y no conocer algunas de sus sutilezas puede llevar fácilmente a exploits y fondos robados.

P: ¿Cómo puede aceptar o firmar un contrato inteligente que contiene código malicioso llevar al robo de sus activos?

Cada usuario debe saber que las transacciones de blockchain son irreversibles: una vez que aprueba una cierta cantidad de un token ERC-20 a un contrato inteligente ERC-20, se transferirá irreversiblemente a él. Un contrato puede tener código fuente verificado sin exploits, pero también puede tener alguna biblioteca no verificada como dependencia. Aprobar tokens a tal contrato es un gran riesgo porque no puede verificar cómo funciona la biblioteca.
Ese fue el caso del proyecto StableMarket, cuando se robaron al menos $27 millones en fondos de los usuarios. Los contratos del proyecto StableMarket tenían código auditado pero se implementaron con una biblioteca no verificada. Esta biblioteca era maliciosa y robó los tokens de los usuarios almacenados en el protocolo.

Otro riesgo para los usuarios es aprobar tokens a un contrato inteligente actualizable: dicho contrato puede actualizarse automáticamente con código malicioso y robar los tokens aprobados.
A menudo, las aplicaciones frontend aprueban cantidades máximas de tokens a un contrato, no solo la cantidad de tokens que se va a utilizar. Esto se hace para pagar el gas en una sola transacción. Si un usuario deposita tokens en un contrato, necesitará pagar adicionalmente por el gas. Pero si un contrato actúa maliciosamente, en ese caso puede retirar cualquier cantidad de tokens de la billetera.

Por lo tanto, la mejor práctica para la máxima seguridad es siempre verificar la cantidad de aprobación y aprobar solo la cantidad que se requiere para la operación del contrato.

P: ¿Los hackers se están volviendo más inteligentes o los usuarios de criptomonedas se están volviendo menos cautelosos con sus procedimientos de ciberseguridad?

Ambas afirmaciones son ciertas. Los hackers han hecho un progreso serio en la explotación de plataformas de préstamos flash en conjunto con diferentes protocolos para crear y explotar vulnerabilidades. Por sí mismos, esas otras plataformas son seguras la mayor parte del tiempo, pero los préstamos flash crean más complejidad estructural, lo que hace que las vulnerabilidades sean más frecuentes.

Estos ataques son muy complejos. Incluso su análisis toma mucho tiempo. Y también hay muchos hackeos de proyectos que simplemente tienen un código deficiente con errores simples que probablemente se eliminarían si se realizaran pruebas o si el código fuera auditado adecuadamente.
Parte de la culpa también recae en los usuarios, porque muchos de ellos conocen las prácticas seguras que minimizan los riesgos, como el almacenamiento en frío, por ejemplo. Pero a menudo las ignoran, perdiendo la cabeza por una oportunidad que puede traerles un ROI múltiplo. A veces, terminan simplemente perdiendo su dinero.

P: ¿Cómo pueden los usuarios proteger mejor sus activos en Metamask y dapps asociadas como OpenSea y DeFi?

La mejor protección no es almacenar todos los activos en billeteras calientes, sino enviarlos a las frías: estas últimas no tienen acceso a Internet. Es mejor almacenar solo una pequeña cantidad de activos necesarios para las operaciones en billeteras calientes y mantener el resto en almacenamiento en frío.
Además de eso, los usuarios deben seguir las reglas de seguridad estándar: usar antivirus, evitar abrir enlaces sospechosos en correos electrónicos y usar la autenticación de dos factores cuando sea posible.

P: ¿Cree que los hackeos y exploits se volverán más comunes a medida que la industria crece?

A medida que la industria crece y se lanzan más proyectos, más de ellos enfrentarán el riesgo de ser hackeados. No puedes eliminar todos los errores en todos los proyectos, pero las empresas de seguridad blockchain están trabajando constantemente para minimizarlos. Eso no solo incluye auditorías del código fuente de los proyectos, sino también el desarrollo de herramientas analíticas que ayudarán a prevenir la aparición de errores por completo, o, al menos, a encontrarlos en las etapas tempranas del desarrollo.

P: ¿Qué papel juega HashEx en la expansión de la industria de las criptomonedas?

Iluminamos a las personas sobre la transparencia y la seguridad de usar aplicaciones descentralizadas. La lógica de su trabajo es demasiado compleja y poco clara para que un usuario promedio la entienda. Además, ninguna persona sensata confiaría su dinero a algo que no entiende, como Pinocho en el campo de los Milagros. Explicamos nociones complejas en términos sencillos y sacamos a la luz las trampas de las que las personas deben ser conscientes e intentar evitar, y también ayudamos a los inversores potenciales a tomar una decisión bien informada sobre sus fondos.

Pero principalmente somos una firma de auditoría centrada en DeFi y criptomonedas. Eso significa que realizamos muchas auditorías de contratos inteligentes y, por lo tanto, ayudamos a los proyectos cripto a ganar la confianza de los inversores, ya que los inversores confían más en los proyectos que están bien protegidos de errores costosos que podrían afectar financieramente a sus inversores.

P: ¿Cuáles son sus opiniones sobre los movimientos del G7 y del presidente de EE. UU. Joe Biden para poner fin al ransomware, la ciberseguridad y los hackeos frecuentes de criptomonedas?

La mejora constante de los estándares de seguridad es parte de nuestra rutina y ideología corporativa. Buscamos llevar confianza al espacio DeFi sin confianza. Y este problema es crucial en cualquier dominio de TI, no solo en DeFi. Con la rápida aparición de nuevos productos de software, el aspecto de la ciberseguridad lamentablemente no recibe la suficiente atención, lo que crea oportunidades para que los hackers exploten. Hay dos razones principales para esto: la programación de 'clic de ratón' y una fuerza laboral de baja calidad que recibe salarios innecesariamente altos.

Este es un punto negativo de los negocios de TI de rápido crecimiento. En este entorno de todos contra todos, las empresas intentan adelantarse unas a otras, ofreciendo nuevos productos y a menudo haciendo la vista gorda ante los problemas de seguridad a pesar de su importancia. Como resultado, a veces obtenemos grandes sistemas, que son utilizados por una gran cantidad de clientes, mientras aún tienen errores en ellos que pueden llevar a la pérdida de los fondos de los usuarios. A veces, las consecuencias de estos errores pueden ser incluso continentales.

Desde este punto de vista, la interferencia gubernamental está completamente justificada. Si no fuera por los gobiernos estatales involucrándose con estos temas, ¿quién más pondría freno a los empresarios codiciosos y los convencería de dedicar esfuerzos a las medidas de seguridad y al desarrollo de software de manera sensata?

Si la gente empieza a reportar los hackeos a las agencias gubernamentales, esto tendrá un efecto positivo. La información oportuna puede ayudar a minimizar las consecuencias de una posible interrupción al permitir el uso de canales de reserva (la situación con el suministro de petróleo a la costa este de Estados Unidos puede verse como un buen ejemplo de esta práctica).

Las normas de seguridad unificadas en toda la industria también serían beneficiosas, si son desarrolladas por expertos y no por personas ajenas. Incluso en esta etapa temprana del desarrollo de DApps, estamos viendo que los principales auditores implementan dichas normas. La integración de estos protocolos ayudará a todos: facilitará la programación, hará los códigos más seguros y protegerá los fondos de los usuarios.

P: Estos hackeos, ¿hablen sobre su impacto en la industria de las criptomonedas?

La retroalimentación para la industria de las criptomonedas es un intento de controlar los fondos robados. Creo que es algo bueno. Actualmente, no puedes obtener todas las comodidades del mundo real a través de las criptomonedas. Esta situación está cambiando día a día, pero está lejos de ser perfecta. Por lo tanto, los hackers aún requieren un puente entre los fondos cripto y los fondos fiduciarios para retirar los fondos adquiridos ilegalmente.

Esta es la etapa en la que se pueden identificar a los criminales. Cuantos más se encuentren, menos estarán dispuestos a intentarlo de nuevo. Se puede pensar en cómo solían cortar partes del cuerpo por robo en las culturas orientales. Tales intervenciones de las agencias de aplicación de la ley están teniendo una influencia totalmente positiva en la industria de las criptomonedas y su reputación. Estas acciones hacen que la gente se sienta más segura.

P: Los actores/jugadores malintencionados detrás de muchos de estos hackeos cripto, ¿qué sanciones recomendaría para disuadir a otros?

Como he dicho antes, estoy a favor de penalizar a tales individuos. Consideraría estas operaciones como fraude financiero de varying grados de severidad, y aplicaría las acciones legales correspondientes. No intentaría crear nuevas leyes en este momento.

P: Un mundo cripto sin hackeos es casi imposible de lograr, ¿cómo pueden las partes interesadas de las criptomonedas, los formuladores de políticas y todos los demás reducir los ataques al mínimo absoluto?

Ningún dominio de TI es concebible sin ciberamenazas. Pero cuando hablamos de negocios ordinarios, solo vemos la punta del iceberg, no el panorama completo. Hay muchos más hackeos de los que se ven a simple vista porque las empresas podrían socavar su reputación si este conocimiento se hace público. Con las criptomonedas, todo es transparente y de conocimiento público, por lo que los medios de comunicación escriben sobre estas cosas con más frecuencia.

La ciberseguridad es una práctica multidimensional que incluye marcos regulatorios en los puntos de entrada y salida de cripto a fiat, educación del usuario, equipos de ciberseguridad que revisan el código, etc. Esta industria aún es joven, lo que brinda una excelente oportunidad para orientarla por los vectores de desarrollo correctos. De esta manera, podemos utilizar prácticas más seguras desde el principio, en lugar de intentar parchear agujeros más adelante.