Un exploit de ConnectKit pone en peligro a los usuarios de dApp y DeFi

Fiabilidad
Resumen

Se ha descubierto un exploit crítico en la librería Ledger ConnectKit, poniendo en riesgo múltiples dApps sin culpa alguna. Ten cuidado al conectar tu Ledger a dApps hoy mismo.

Hoy podría ser un buen día para mantenerse alejado de las finanzas descentralizadas (DeFi).

En un reciente incidente de ciberseguridad que ha conmocionado al ecosistema de las aplicaciones descentralizadas (dApp), se ha descubierto un exploit crítico en la biblioteca Ledger ConnectKit, que pone en peligro múltiples dApp.

La brecha de seguridad tiene su origen en una biblioteca de software comprometida conectada a Ledger, un conocido proveedor de monederos electrónicos, y ha suscitado serias preocupaciones sobre la seguridad de los activos digitales.

Origen del exploit: ¿Cómo se comprometió Ledger ConnectKit?

Los desarrolladores identificaron por primera vez la vulnerabilidad en Twitter, que más tarde fue confirmada por la empresa de seguridad BlockAid como un “ataque a la cadena de suministro” al ConnectKit de Ledger.

Los atacantes sustituyeron el software legítimo de la biblioteca por código malicioso diseñado para sustraer activos a usuarios desprevenidos.

El director de tecnología de SushiSwap, Matthew Lilley, identificó la causa raíz como un compromiso de la red de distribución de contenidos (CDN) que aloja la biblioteca de software ConnectKit.

Según Lilley, cualquier dApp que utilizara ConnectKit de Ledger era susceptible al exploit.

Impacto en las aplicaciones descentralizadas (dApps)

Las implicaciones del ataque fueron inmediatas y generalizadas, con repercusiones en toda la industria de las criptomonedas.

Varias dApps destacadas, como Kyber y RevokeCash, reconocieron la amenaza y desactivaron sus frontales como medida de precaución.

El código malicioso inyectado podría afectar a los frontales de varias dApps, lo que supondría un riesgo significativo para los usuarios y sus activos.

Blockaid estimó la pérdida inicial en unos 150.000 dólares, que más tarde ascendió a más de medio millón de dólares.

En respuesta, el emisor de stablecoins Tether puso en la lista negra la dirección del hacker para evitar nuevas transacciones.

Respuesta a la crisis de Ledger y medidas de seguridad actualizadas

Ledger reconoció rápidamente el problema, declarando: “Hemos identificado y eliminado una versión maliciosa de Ledger ConnectKit. Ahora se está enviando una versión auténtica para sustituir al archivo malicioso”.

Aconsejaron a los usuarios que no interactuaran con ninguna dApp hasta que la situación estuviera totalmente resuelta.

El fabricante de monederos electrónicos subrayó que los dispositivos Ledger y la aplicación Ledger Live no se vieron comprometidos en el ataque.

Más tarde, en una alerta a todo el sector, MetaMask, una de las principales aplicaciones de monedero Web3, advirtió de que el incidente afectaba a todos los usuarios, no sólo a los clientes de Ledger.

MetaMask desplegó rápidamente una solución para su aplicación e instó a los usuarios a actualizar a la última versión por seguridad.

Alcance y gravedad del último criptoataque

La versión comprometida del Connect Kit, esencial para la interacción entre los monederos de hardware de Ledger y las dApps, facilitó transferencias de activos no autorizadas.

El enlace con los desarrolladores del núcleo de Ethereum, Hudson Jameson, subrayó el riesgo y aconsejó a los usuarios que tuvieran cuidado con las dApps hasta que los proyectos afectados actualizaran sus sistemas con el código corregido de Ledger.

Aunque todavía no se ha calculado la suma exacta perdida hasta el momento, este incidente no es el primer encuentro de Ledger con problemas de seguridad.

En noviembre de este año, una aplicación fraudulenta de Ledger en la App Store de Microsoft provocó pérdidas de casi 1 millón de dólares.

Además, en 2020, Ledger se enfrentó a una reacción violenta después de que un ataque informático comprometiera más de un millón de correos electrónicos de usuarios.

El reciente servicio Recover de Ledger, basado en la identificación voluntaria, aunque no está relacionado con este exploit, también suscitó críticas por los fallos de seguridad percibidos.

En resumen: Una llamada de atención para mejorar las medidas de seguridad

La explotación de la biblioteca ConnectKit de Ledger sirve como un duro recordatorio de las vulnerabilidades en el ecosistema de activos digitales, en particular en lo que respecta a las integraciones y dependencias de terceros.

A medida que el sector de las criptomonedas sigue evolucionando, no se puede exagerar la importancia de contar con medidas de seguridad sólidas y protocolos de respuesta rápida.

Tanto para los usuarios como para los desarrolladores, este incidente pone de relieve la necesidad de una mayor vigilancia y una comprensión exhaustiva de las tecnologías y bibliotecas subyacentes de las que dependen.

Por hoy, y cada día… Pisa con cuidado.

Temas relacionados

Artículos relacionados

Sam Cooling
Crypto and Blockchain Writer
Sam Cooling
Editor

Sam es un periodista de tecnología con un enfoque en noticias del mercado de criptomonedas e inteligencia artificial, con sede en Londres. Su trabajo ha sido publicado en Yahoo News, Yahoo Finance, Coin Rivet, CryptoNews.com, Business2Community y Techopedia. Con una Maestría en Gestión del Desarrollo de la London School of Economics, Sam ha trabajado previamente como Consultor de Tecnología de Datos para la Fundación Fairtrade y como Investigador Asociado Junior para la Academia de Defensa del Reino Unido. Ha estado operando activamente con criptomonedas desde 2020, contribuyendo de manera activa a proyectos como Fetch.ai y Landshare.io. La pasión de Sam…