El hackeo de Wormhole ilustra el peligro de los puentes cross-chain de DeFi
Solana se ha convertido en una de las redes de blockchain de contratos inteligentes de más rápido crecimiento desde su lanzamiento oficial en marzo de 2020.
El valor total bloqueado (TVL) en los protocolos de finanzas descentralizadas (DeFi) en la red creció de casi 152 millones de dólares en marzo de 2021 a 8.080 millones de dólares en el momento de escribir este artículo, según datos de DefiLlama.
Simultáneamente, la red también ha estado sujeta a varios problemas e interrupciones de la red. Recientemente, el puente de tokens de Wormhole se vio afectado por un fallo de seguridad el 3 de febrero que culminó con la pérdida de 120.000 tokens de Ether (wETH) envueltos, por valor de más de 375 millones de dólares al precio actual de Ether (ETH).
Este exploit fue el mayor hasta ahora en 2022 y el segundo mayor hackeo de DeFi de la historia, después del hackeo de Poly Network, donde se robaron más de 600 millones de dólares de tres redes de blockchain diferentes cuando se comprometió un puente de Ethereum.
Wormhole es un protocolo de puente de tokens que conecta múltiples redes de blockchain como Ethereum, Solana, Terra, BNB Smart Chain, Polygon, Avalanche y Oasis. Permite a los usuarios enviar y recibir tokens entre estas redes sin necesidad de un exchange centralizado o de tediosos procesos de conversión. Mientras que el Ether envuelto fue el único activo afectado por este exploit, Certik, una firma de auditoría de contratos inteligentes, mencionó que el puente de Wormhole a la red de blockchain Terra podría verse afectado por la misma vulnerabilidad que el puente de Solana.
El protocolo de puente de tokens ha publicado un detallado informe de incidentes que sigue la cronología del hackeo y todos los aspectos asociados al mismo, incluyendo auditorías de seguridad, recompensas por errores y la hoja de ruta de seguridad. Cointelegraph habló de este hackeo con Max Galka, el director general de la empresa de análisis de datos de blockchain Elementus. Él dijo:
“Unas tres horas antes de que Ether fuera tomado de Wormhole, la cartera que actualmente tiene los fondos robados tenía una transacción más pequeña depositada desde Tornado Cash – un mezclador que anonimiza las transacciones. Hubo una transferencia desde un mezclador en Ethereum a esta cartera que ahora tiene los fondos robados.”
Galka mencionó además que, si bien es evidente por qué el hacker habría experimentado con Tornado Cash en primer lugar, está menos claro por qué usarían el mezclador para depositar fondos exactamente en la misma cartera antes de ejecutar un exploit mayor.
Poco después, Wormhole lanzó un programa de recompensas por errores con Immunefi el 12 de febrero con una recompensa de 10 millones de dólares que cubre los contratos inteligentes, la interfaz de usuario web (UI), los nodos guardianes y las integraciones de Wormhole. Esto lo convierte en el mayor programa de recompensas por errores en el criptoverso, a la par del programa de recompensas por errores de Maker DAO.
Jump Crypto, la rama de inversión en criptomonedas de la empresa de comercio Jump Trading y uno de los principales inversores que respaldan a Wormhole, ha intervenido para “hacer que los miembros de la comunidad estén completos.” La firma de capital de riesgo ha reemplazado los 120.000 ETH y declaró a través de una publicación en Twitter el mismo día del hackeo que la firma cree en un futuro multicadena y que Wormhole es una infraestructura esencial para este futuro.
Preocupación por la seguridad de la actividad entre cadenas
Vitalik Buterin, cofundador de Ethereum, escribió en una sesión de Reddit AMA junto con el equipo de investigación de la Fundación Ethereum donde dijo que el futuro de la tecnología blockchain es la multicadena y no la cadena cruzada. Buterin ha razonado esto con las preocupaciones de seguridad de los puentes y los activos de tokens no nativos con un enfoque en la probabilidad de ataques del 51%. Dijo: “Siempre es más seguro tener activos nativos de Ethereum en Ethereum o activos nativos de Solana en Solana que tener activos nativos de Ethereum en Solana o activos nativos de Solana en Ethereum”.
My argument for why the future will be *multi-chain*, but it will not be *cross-chain*: there are fundamental limits to the security of bridges that hop across multiple “zones of sovereignty”. From https://t.co/3g1GUvuA3A: pic.twitter.com/tEYz8vb59b
— vitalik.eth (@VitalikButerin) January 7, 2022
Jagdeep Sidhu, el director de tecnología de Syscoin, una red de blockchain de prueba de trabajo (PoW) que se “fusiona” con Bitcoin, habló con Cointelegraph más sobre esta narrativa. Dijo: “Simplemente quiere decir que donde hay una blockchain, hay una zona de soberanía dentro de esa cadena que tiene libre albedrío sobre la seguridad de esa blockchain. Cada vez que los bloques retroceden, por ejemplo, todos los sistemas que dependen de la seguridad de esa cadena también retroceden. Por eso, cuando se crean puentes entre cadenas, hay que asumir un nuevo sistema de consenso que vigilará y actuará sobre los retrocesos o esperar con cautela las posibilidades de un retroceso, dependiendo del valor de la transacción.”
Sidhu dijo además que el hackeo de Wormhole reveló las complejidades de la creación de intercambios y puentes entre cadenas, ya que el ataque sólo fue posible debido a una externalidad del equipo de Solana que hizo que una determinada operación en el código de consenso fuera heredada. Esta operación abrió una laguna en la lógica de Wormhole que fue aprovechada por el hacker.
Aunque este hackeo en particular afectó a un puente de cadena cruzada, cabe destacar que, técnicamente, se trataba de un exploit de contrato inteligente, que ha existido desde que existe el concepto de contratos inteligentes. Galka declaró:
“La historia de los contratos inteligentes ha implicado un flujo bastante consistente de vulnerabilidades y hacks que se remontan a los primeros días de Ethereum, cuando The DAO fue atacado en 2016. En general, los contratos puente de cadena cruzada tienen grandes saldos que los convierten en objetivos principales. Históricamente, siempre ha habido hacks en los contratos inteligentes. Yo esperaría que eso continúe”.
Cointelegraph también discutió este aspecto del hackeo con Anton Bukov, cofundador de 1inch Network, un agregador de DEX, quien mencionó que la causa que llevó a este hackeo fue un error de contrato inteligente de bajo nivel. Estaba relacionado con el mecanismo que Solana utilizaba para las llamadas a los contratos inteligentes precompilados. Señaló que la corrección del error estuvo disponible públicamente en el repositorio GitHub del protocolo de interoperabilidad durante más de dos semanas antes del hackeo.
El hecho de que la corrección estuviera disponible públicamente podría haber sido la clave para que el explotador identificara el hackeo. Bukov también estuvo de acuerdo con las preocupaciones de Buterin sobre las operaciones de cadena cruzada y declaró que “las operaciones de cadena cruzada son mucho más peligrosas y vulnerables que cualquier otra operación de cadena de bloques.”
At least 5 bridges were hacked since mid-2021, attackers were able to steal more than $1B. Never underestimate security audits importance. Three hacks ago @VitalikButerin warned us about cross-chain dangers: https://t.co/jvmLOIEQlE pic.twitter.com/bQoht0FNve
— Anton Bukov ⚖️ (@k06a) February 3, 2022
Rollups de conocimiento cero
A pesar del rápido crecimiento de Solana en el poco tiempo transcurrido desde su lanzamiento, la red se ha vuelto cada vez más susceptible a los problemas a medida que comienzan a incorporarse más usuarios. La red tuvo un mal comienzo de año cuando se enfrentó a seis interrupciones de red en enero que causaron mucha frustración a su comunidad.
Sidhu señaló que Solana, al igual que todas las demás redes de contratos inteligentes alternativos, utiliza una arquitectura monolítica que no permite realizar economías de escala. Debido a esto, a medida que más usuarios entren en la red, las tarifas y los recursos para mantener la red estable, segura y descentralizada aumentarán.
Sugiriendo una alternativa a este problema de entrada, dijo: “La mejor manera que conocemos de escalar es mediante una arquitectura modular. Esto es hacia lo que Ethereum y algunas otras blockchains como Syscoin están haciendo la transición debido a la creación de grandes soluciones de escalado como los rollups basados en pruebas optimistas y de conocimiento cero.”
Demostrando una solución detallada para este problema, Sidhu mencionó que la mejor solución para los activos de cadena cruzada es utilizar pruebas de conocimiento cero (ZK) como una mejor alternativa a tener el conjunto de dinero sentado en un consenso externo como un protocolo multipartito que requiere una suposición de mayoría honesta de validadores externos. Este uso de las pruebas ZK sustituiría el consenso externo por las pruebas de validez matemática.
No obstante, también añadió que ninguna de las soluciones es tan segura como el uso de una capa 1 fiable. Y añadió: “Un puente ZK es una mejora prometedora del puente entre cadenas, pero no creo que deba utilizarse como ecosistema genérico de DeFi entre cadenas, ya que, por definición, no puede proporcionar tanta seguridad como el simple uso de una capa 1 segura”.
Bukov señaló las posibilidades de que este hackeo se replique con puentes en otras redes de blockchain también:
“Históricamente hablando, ha habido casos de una parte que explota el código y luego los imitadores se aprovechan de este exploit inicial. En 2017, se hackeó el código subyacente de una serie de carteras de Ethereum con varias firmas. En este caso, se produjeron varios hackeos de seguimiento por parte de otros actores que aprovecharon la misma vulnerabilidad.”
Este hackeo podría ser una señal para que los desarrolladores del núcleo de los protocolos puente interoperables y otras redes de cadenas de bloques de contratos inteligentes procedan con precaución para los contratos inteligentes y activos de cadenas cruzadas y trabajen en actualizaciones regulares, auditorías, recompensas por errores, etc., para tapar costosas lagunas como estas en sus operaciones.
