Cuando compras a través de enlaces de afiliados en nuestra web, es posible que obtengamos una comisión sin coste adicional para ti. Aprende 
Los puentes Blockchain cambian las reglas del juego en el ecosistema de las finanzas descentralizadas (DeFi), permitiendo una interoperabilidad sin fisuras entre protocolos.
Los puentes permiten a los usuarios mover activos digitales entre redes, desvelando así el poder y el potencial de DeFi.
Sin embargo, con un gran poder…
Los puentes se han convertido en el blanco más fácil de hackeos de alto perfil en la industria de las criptomonedas, con pérdidas de 2.000 millones de dólares en 2022.
¿Qué podemos aprender de los hackeos de puentes blockchain del pasado y qué pueden hacer los desarrolladores para reducir los riesgos?
Hacks de puentes de blockchain
Los siguientes son hacks puente notables que han resultado en pérdidas significativas.
El pirateo del Ronin
El hackeo ejecutado en el puente Ronin no es sólo el ataque a puentes más significativo, sino también el mayor ataque criptográfico de todos los tiempos. Fue orquestado contra un puente construido por Sky Mavis, un desarrollador del juego Axie Infinity, para conectar la cadena lateral basada en EVM de Axie Infinity, Ronin Network, a Ethereum (ETC).
Mediante ingeniería social, los hackers comprometieron a uno de los ingenieros de la empresa y obtuvieron acceso a las claves privadas. Haciéndose pasar por un reclutador, los hackers ofrecieron trabajo a una selección de desarrolladores de Axie Infinity, uno de los cuales mordió el anzuelo.
Tras una serie de entrevistas, al desarrollador -un ingeniero senior- le ofrecieron el trabajo y recibió un archivo PDF con todos los detalles sobre la remuneración. Al descargar el documento, repleto de programas espía, los piratas informáticos accedieron a cuatro de los nueve validadores (encargados de verificar las transacciones en la red).
Como aún no habían conseguido controlar el 50% de los validadores para firmar con éxito las transacciones, explotaron una puerta trasera que quedó abierta cuando la organización autónoma descentralizada (DAO) Axie concedió a Sky Mavis los derechos para firmar en su nombre para hacer frente al elevado volumen de usuarios.
Con ello, los hackers pudieron hacerse con criptoactivos por valor de más de 600 millones de dólares. En concreto, el exploit provocó la pérdida de 173,6K ETH y 25,5M USDC tokens. El ataque estaba vinculado a Lazarus Group, uno de los grupos de hackers patrocinados por el gobierno norcoreano, que supuestamente robó más de 2.000 millones de dólares en criptoactivos en los últimos años.
Hackeo de Binance
Otro de los principales hackeos de puentes fue el de Binance, que provocó la pérdida de más de 570 millones de dólares en criptoactivos. El puente de Binance conecta y permite la transferencia de activos desde la cadena BNB y la cadena inteligente BNB de Binance a Ethereum y viceversa.
Según Immunefi, una plataforma de servicios de seguridad y recompensas por errores en criptomonedas y Web3, los piratas informáticos explotaron un error en la prueba de transacción del puente de Binance. El hacker consiguió obtener un mensaje que probaba la validez de una transacción, engañando a la lógica del contrato para que pensara que el mensaje era realmente válido, a pesar de que el hacker no tenía derechos sobre los fondos.
El resultado fue que Token Hub pagó la transacción, lo que provocó el drenaje de dos millones de tokens BNB por valor de unos 570 millones de dólares en el momento del ataque. Mientras los fondos restantes estaban congelados en la cadena, los hackers pudieron transferir 137 millones de dólares a otras cadenas.
Utilizando el BNB robado como garantía para pedir prestadas diferentes stablecoins, la mayor parte del dinero se blanqueó a través de Venus y Geist, mientras que el dinero restante pasó por Uniswap, PancakeSwap, Curve Finance y Platypus Finance.
Hackeo del agujero de gusano
En 2022 se produjo otro ataque a una blockchain puente, Wormhole, que conecta Solana a otras blockchains importantes como Ethereum. El ataque aprovechó una función obsoleta del código para eludir la verificación de firmas.
Según los commits de código abierto, el código destinado a abordar esta vulnerabilidad se produjo ya en enero y se publicó en el repositorio GitHub de Wormhole el día del ataque, en febrero.
El hacker no descubrió la vulnerabilidad hasta horas después, posiblemente tras ver los commits realizados en el código, lo que indicaba que la aplicación de producción aún no había recibido las correcciones. Esto les permitió falsificar una firma válida para una transacción que les permitió acuñar libremente 120.000 Ethereum envueltos (wETH).
El hack de Nomad
A diferencia de otros puentes que tienen blockchains y validadores nativos, Nomad es un puente en general que permite a los usuarios transferir activos y datos a través de varias blockchains, como Ethereum y Moonbeam.
Este puente entre cadenas es más rentable que otros, ya que utiliza contratos inteligentes en la cadena para recaudar y distribuir los fondos transferidos y agentes fuera de la cadena para retransmitir y verificar los mensajes entre diferentes cadenas de bloques, lo que reduce la sobrecarga.
El pirateo afectó a un total de 960 transacciones con 1.175 retiradas individuales del puente. El ataque fue posible gracias a un error de configuración del contrato inteligente principal del proyecto, que permitía a cualquier persona con conocimientos básicos del código autorizar retiradas por sí misma.
Según Nomad, un error de implementación hizo que el contrato Replica no autenticara correctamente los mensajes. Este problema permitía falsificar cualquier mensaje siempre que no hubiera sido procesado previamente.
Como resultado, los contratos que dependían de la Réplica para la autenticación de los mensajes entrantes sufrían fallos de seguridad. Este fallo de autenticación provocó que se pasaran mensajes fraudulentos al contrato BridgeRouter de Nomad, lo que permitió las retiradas.
En total, el puente se quedó sin 190 millones de dólares en criptomonedas en forma de USDC y wETH. Tras este hackeo, Nomad ofreció una recompensa, según la cual los atacantes podrían quedarse con el 10% de su dinero y evitar consecuencias legales siempre que se devolviera el 90% restante, además de un token no fungible Whitehat (NFT) como muestra de agradecimiento. Sin embargo, finalmente sólo se recuperaron 36 millones de dólares.
Hackeo de Harmony
La industria de las criptomonedas sufrió una pérdida de 100 millones de dólares a través de un ataque a un puente de blockchain que tenía como objetivo el puente Horizon nativo de la blockchain de capa 1 Harmony. El puente facilita la transferencia de activos entre Harmony y las blockchains BNB Smart Chain y Ethereum.
Aunque se desconoce cómo accedieron los piratas informáticos a las claves privadas, se ha establecido que el exploit se facilitó a través de su compromiso. Estas claves se utilizaban para aprobar una transacción y provocar la transferencia de fondos.
Sin embargo, Horizon Bridge de Harmony sólo requería dos de las cinco claves privadas para aprobar una transacción. Una vez que el pirata informático robó las dos claves, aprobó una transacción por valor de 100 millones de dólares.
El pirateo se relacionó con Lazarus Group, que blanqueó los fondos en Tornado Cash a pesar de que se le ofreció una recompensa de un millón de dólares.
Puentes: El eslabón más débil
Chainalysis afirma que los puentes blockchain son más susceptibles a los hackeos de criptomonedas que las redes blockchain. En 2022, los hackeos de puentes representaron más del 52% de todas las pérdidas de criptomonedas y el 64% de todas las pérdidas de protocolos defi.
Los puentes son más vulnerables porque a pesar de existir en un entorno descentralizado, tienen un punto central donde almacenan todas las garantías de los activos puenteados. Esto hace que el puente sea un objetivo más fácil independientemente del método utilizado para almacenar los activos, ya sea un contrato inteligente o con un custodio central.
Además, a pesar de que se están creando y probando numerosos modelos nuevos, el diseño exitoso de puentes sigue siendo una dificultad técnica. Estos diseños ofrecen nuevos puntos de ataque que los actores maliciosos podrían utilizar con el paso del tiempo, incluso aunque se mejoren las mejores prácticas.
Algunos proyectos de puentes también publican sus códigos fuente como código abierto para fomentar la apertura y la transparencia. Aunque los códigos fuente abiertos fomentan la confianza, facilitan a los piratas informáticos examinar, duplicar o encontrar puntos débiles en el software de un puente.
Mejorar la seguridad de los puentes Blockchain
La seguridad del puente Blockchain puede verse comprometida a través de enfoques técnicos, como la búsqueda de lagunas en el código, o mediante la manipulación de personas con acceso privilegiado al puente a través de técnicas como la ingeniería social.
Por ello, los intentos de mejorar la seguridad de los puentes deben tener en cuenta ambas vulnerabilidades. Desde el punto de vista técnico, los desarrolladores deben:
Utilizar tecnología multi-firma
La firma múltiple es un enfoque que requiere múltiples aprobaciones o firmas antes de que se lleve a cabo una transacción y se transfieran los fondos. Esto impide que una sola parte tenga el poder absoluto, creando un único punto de fallo.
Al necesitar varias firmas, se elimina el punto único de fallo y se dificulta que un pirata informático consiga la aprobación para completar una transacción. Aunque el método se ha aplicado durante muchos años en la industria de las criptomonedas, muchos han tenido que aumentar el mínimo de firmas requeridas o el número total de firmantes para añadir capas de seguridad.
Auditorías
También se ha determinado que el código es una fuente de vulnerabilidades en los puentes. Los piratas informáticos pueden encontrar lagunas y explotarlas para obtener activos explorando el código. Por ello, los puentes deben someterse a revisiones y auditorías exhaustivas para identificar los códigos vulnerables en un entorno más seguro.
También se recomiendan las auditorías de terceros, como las de Trails of Bits, Solidified, Ackee Report, Halborn o Code4rena.
Estas auditorías también deberían extenderse al código recién escrito antes de fusionarlo con el código de producción para identificar posibles vulnerabilidades que pudieran surgir debido a los cambios realizados.
Enfoque optimista
Este enfoque es aquel en el que un puente asume que todas las transacciones son válidas y, en su lugar, recurre a terceros participantes para que marquen las transacciones sospechosas a cambio de recompensas antes de que se ejecuten.
De este modo, el puente confía en que los validadores detecten las transacciones sospechosas y las impugnen para que se investiguen más a fondo, lo que da lugar a un puente más seguro. Sin embargo, la seguridad se consigue a expensas de la velocidad de ejecución de las transacciones, ya que éstas tienen que esperar a que transcurra el periodo de impugnación, durante el cual los terceros pueden marcar una transacción.
Educación
En lo que respecta a los seres humanos y sus interacciones con las plataformas, los propietarios de los puentes pueden trabajar en la educación de sus desarrolladores y personas con acceso privilegiado sobre cómo identificar y evitar la ingeniería social y las estafas de phishing.
Estas personas también deben mantenerse al día de las últimas tendencias y hacks para aprender las nuevas formas en que los hackers están estafando a los desarrolladores para obtener información que podría comprometer el puente.
Lo esencial
Sin duda, el aumento de los puentes blockchain también ha provocado un aumento de las pérdidas sufridas. Esto ha afectado inevitablemente al mercado, provocando una caída del precio de los activos o una reducción del volumen de transacciones, aunque de forma temporal.
Los piratas informáticos evolucionan continuamente sus técnicas y avanzan en sus planteamientos. Afortunadamente, los desarrolladores y las plataformas también están reforzando la seguridad de los puentes y siendo más vigilantes en su enfoque de la seguridad de la plataforma.
Además, es posible que con el tiempo se regule el sector y se establezcan normas y marcos para garantizar la seguridad general del sector. Como resultado, aunque lentamente, el panorama DeFi será más seguro y estará menos amenazado por los hackeos. Esto animará e inspirará confianza a los inversores, lo que se traducirá en un crecimiento del sector.
