DeFiLos ataques a través de puentes entre cadenas de criptomonedas generan un volumen récord de ataques y exploits de criptomonedas

Los ataques a objetivos DeFi y puentes entre cadenas han impulsado un año récord de actividad de piratería informática en el ecosistema de las criptomonedas, con más de 3.600 millones de dólares en fondos robados hasta noviembre de 2022, según un análisis de incidentes de piratería informática realizado por TRM Labs¹. 

La historia en cifras:

• 3,5:1 - Proporción en la que los hackeos DeFi superan a los realizados contra objetivos no DeFi .‍
• 80 - El porcentaje de la cantidad total robada en criptomonedas este año que procedía de ataques DeFi : hasta 3.000 millones de dólares. ‍
• 11x - El pirateo medio de puentes de cadena cruzada es unas 11 veces mayor que el pirateo medio de puentes que no son de cadena cruzada. Los ataques contra puentes de cadena cruzada DeFi son menos comunes que los ataques contra otros objetivos, pero son mucho mayores de media.
• 13 - El número de hackeos de puentes entre cadenas detectados por TRM Labs hasta noviembre de 2022, con casi 2.000 millones de dólares robados. 
• ‍9/10 - Nueve de los diez mayores hackeos de lo que va de año fueron contra objetivos DeFi , y cinco de ellos contra puentes entre cadenas. Evitar los nueve mayores ataques DeFi habría supuesto un 65% menos de dinero robado.

Grandes sumas y vulnerabilidades hacen de DeFi un objetivo atractivo 

El valor total bloqueado (TVL) en DeFi se ha disparado en los dos últimos años, pasando de unos 10.000 millones de dólares en octubre de 2020 a 42.000 millones en noviembre de 2022. El volumen puente fue de unos 1.300 millones de dólares en el periodo de siete días a finales de noviembre, según el mismo sitio web agregador.

Aparte de su tamaño, otras dos características clave de los proyectos DeFi y los puentes entre cadenas los convierten en objetivos más apetecibles para los piratas informáticos y más vulnerables a los ataques:

• Complejidad: El ecosistema DeFi es complejo y está interconectado, lo que permite a los hackers emplear exploits de formas que los desarrolladores no previeron ni probaron. Por ejemplo, en un ataque de préstamo flash, los hackers pueden utilizar servicios no relacionados con el objetivo para manipular el precio de un activo o magnificar el impacto del ataque en el objetivo principal.

• Transparencia: Los proyectosDeFi dan prioridad a la transparencia y suelen basarse en código abierto. Esto permite a cualquiera, desde investigadores de seguridad hasta hackers, revisar el código y buscar vulnerabilidades explotables.  

Algunos hackers también han afirmado que los proyectos DeFi pueden manipularse y atacarse de forma que no se infrinja la ley. Esto puede hacer que los posibles atacantes consideren los proyectos DeFi de menor riesgo que los objetivos CeFi. 

En octubre de 2022, la plataforma Mango Markets, con sede en Solana, perdió unos 115 millones de dólares cuando un grupo manipuló su oráculo de precios, la autoridad que determina el valor de un token. El autoproclamado líder de los hackers, Avraham Eisenberg, reveló más tarde su identidad y caracterizó las actividades de su equipo como una "estrategia comercial altamente rentable" más que como un hackeo. Aún no está claro si Eisenberg será procesado.

Los ataques DeFi incluyen ataques a la infraestructura, exploits de código y ataques a protocolos

Los ataques a infraestructuras, los exploits de código y los ataques a protocolos son responsables de la mayor parte del importe total robado por los hackeos en lo que va de año. Algunos hackers utilizan una combinación de estos tipos de ataque para acceder a los fondos. 

• Los ataques a la infraestructura permiten a los hackers penetrar en los controles de seguridad de un objetivo para realizar transacciones no autorizadas, como el envío de fondos desde una dirección de la víctima a otra controlada por el hacker. Los métodos más comunes en esta categoría incluyen el robo de claves privadas, el robo de frases semilla y los ataques frontales.
• Los exploits de código dirigidos a smart contracts inteligentes permiten a los atacantes retirar fondos de los protocolos DeFi sin autorización. En un exploit de código de smart contract inteligente, los hackers pueden utilizar las vulnerabilidades descubiertas para llevar a cabo ataques contra el protocolo. A principios de este año, el puente del agujero de gusano de Solana fue objeto de un ataque informático que provocó la retirada de más de 300 millones de dólares del protocolo DeFi (véase más abajo).
• Los ataques de protocolo son un tipo de ataque de lógica empresarial que, entre otras cosas, puede permitir a un atacante manipular el precio de un token y crear oportunidades de arbitraje para comprar barato en un mercado y vender caro en otro. Los préstamos flash y la manipulación de la gobernanza son algunos de los tipos más comunes de ataques de protocolo.

Los fallos de CeFi podrían impulsar los hackeos DeFi 

Es probable que los recientes fracasos de FTX y otras empresas de criptomonedas centralizadas de alto perfil, como Celsius y Voyager -conocidas como CeFi-, aumenten el interés por las soluciones DeFi . El consiguiente éxodo de inversores hacia DeFi podría envalentonar aún más a los piratas informáticos. 

Para mitigar estos riesgos, los proyectos DeFi deben recurrir a programas convencionales de recompensas por fallos, auditorías de seguridad de smart contract y soluciones de seguridad comerciales. 

• Los programas convencionales de recompensas por fallos pagan a hackers e investigadores de seguridad por descubrir y comunicar vulnerabilidades al proyecto DeFi . La vulnerabilidad puede parchearse antes de que se aproveche en un ataque. Por el contrario, los programas de recompensas en criptomonedas que pagan a los piratas informáticos para que devuelvan un porcentaje de los fondos robados tras un ataque pueden, de hecho, fomentar los hackeos. Para más información sobre las criptocompensas, véase el reciente análisis de TRM sobre las recompensas, "Bounties Playing Prominent Role in Stolen Cryptocurrency Recovery Efforts".
  

• Las auditorías de seguridad pueden detectar vulnerabilidades en los smart contracts que son la columna vertebral de los proyectos DeFi , lo que permite a los proyectos corregir los errores antes de que los piratas informáticos puedan explotar las vulnerabilidades. Sin embargo, las auditorías no son infalibles y deben utilizarse junto con otros controles y políticas de seguridad.

• Se están desarrollando nuevas soluciones comerciales para mejorar la seguridad en todo el ecosistema DeFi . Especialmente cuando se combinan con los controles existentes, como las auditorías de smart contract , los productos de seguridad innovadores pueden ofrecer una mayor seguridad DeFi , aunque todavía es demasiado pronto para juzgar su eficacia.

Combinados, estos controles y tecnologías pueden reducir la superficie de ataque de los protocolos DeFi . A medida que DeFi siga creciendo, los piratas informáticos buscarán formas cada vez más audaces de explotar sus puntos débiles.

¹ En este documento definimos los hackeos en sentido amplio, para incluir exploits de smart contract y de código, así como ataques generales a la infraestructura, como el robo de claves privadas.