El hack de Munchables es mucho peor de lo que parece

El martes 26 de marzo, el proyecto “GameFi” basado en NFT de Ethereum, Munchables, informó un ataque quedrenó más de 17,400 ETH (aproximadamente 63 millones de dólares) de sus arcas. Tras cinco horas de investigación, se hizo evidente que el ataque se originó dentro de la casa: un desarrollador contratado con el alias "Werewolves0943" había vaciado los fondos. El robo de fondos de proyectos por parte de personas con información privilegiada es tan común en el Cripto que el término "rugpull" es común en el lenguaje común. Sin embargo, lo singular de esta situación es que los empleados contratados... Supuestamente tenía vínculos con Corea del Norte.

Este es un extracto del boletín The Node, un resumen diario de las noticias más importantes Cripto en CoinDesk y otros medios. Puedes suscribirte para recibir la información completa. boletín informativo aquí.

Tras una hora de negociaciones lideradas por Munchables, junto con el investigador independiente de blockchain ZachXBT y la firma de seguridad PeckShield, Werewolves0943 se convenció de devolver todos los fondos. "El desarrollador de Munchables ha compartido todas las claves privadas involucradas para ayudar a recuperar los fondos del usuario. Específicamente, la clave que contiene $62,535,441.24 USD, la clave que contiene 73 WETH y la clave del propietario que contiene el resto de los fondos", publicó el equipo de Munchables a las 4:40 a.m. UTC.

Si bien esto parece una solución bastante satisfactoria para un ataque informático de escaso valor, el exploit de Munchables podría tener consecuencias negativas para la industria de las Cripto . Y lo que es más importante, si bien aún no se ha confirmado la participación directa de Corea del Norte en el ataque, el simple hecho de que tanta gente estuviera dispuesta a aceptarlo sin reservas refuerza la peligrosa narrativa de que las Cripto contribuyen a erosionar la defensa nacional y a fortalecer a las organizaciones terroristas.

Datos de 2016 a 2023 recopilados por una empresa de análisis en cadenaChainalysis mostró que Corea del Norte hackeó al menos 20 plataformas de Cripto y robó activos por un valor de poco más de mil millones de dólares solo el año pasado. Un informe aparte de Laboratorios TRM corroboraron en gran medida esos hallazgos. «Los ataques informáticos vinculados a Corea del Norte han aumentado en los últimos años, con grupos de ciberespionaje como Kimsuky y Lazarus Group utilizando diversas tácticas maliciosas para adquirir grandes cantidades de Cripto », afirmó Chainalysis en su informe.

Más temprano La investigación encontró Hackers afiliados a Corea del Norte utilizaban miles de millones de dólares en Cripto robadas para financiar el programa de armas nucleares del Reino Ermitaño. Estos ataques fueron una razón importante por la que el Departamento del Tesoro de EE. UU. tomó la medida sin precedentes de sancionar el contrato inteligente del mezclador de Cripto Tornado Cash y por la que la senadora Elizabeth Warren (demócrata por Massachusetts) puede, de buena fe, calificar a las Cripto de... “riesgo para la seguridad nacional”.

“Hablando en serio: la mayor amenaza Regulación para las Cripto , con diferencia, es la acusación de que Corea del Norte financia su programa de misiles pirateando contratos inteligentes”, dijo Jake Chervinsky, director ejecutivo de Variant Fund. escribió en XSi se prohíben las Cripto , esto se debe a una opinión cada vez más extendida entre los legisladores anticriptomonedas: que Cripto no tienen otro uso que el de las apuestas y la delincuencia, y que el riesgo de permitir que Cripto existiendo supera con creces los beneficios potenciales que los desarrolladores de blockchain han prometido, pero no entregado, durante años.

El ataque de Munchables solo refuerza esta imagen. De hecho, es un poco peor, ya que no se trató de un agente externo que explotara código mal escrito, sino de una completa falta de diligencia debida por parte de un proyecto multimillonario de blockchain al contratar desarrolladores. Esto le da un giro completamente nuevo al concepto de "ingeniería social", ya que supuestos actores de amenazas no solo pueden manipular a alguien interno para obtener información crítica, sino también recibir pagos por estar en la organización.

Según el desarrollador de Ethereum 0xSalirEl ataque a Munchables se había planeado desde el principio. El atacante logró actualizar el "contrato de bloqueo", diseñado para KEEP los fondos del proyecto bajo llave durante un período específico, para poder "asignarse un saldo depositado de 1.000.000 de ether", ocultando al mismo tiempo la evidencia de los cambios. 0xQuit reclamado.

Ver también:Llamar exploit a un ataque minimiza el error Human | Opinión

Por supuesto, este no es un problema exclusivo de la industria de las Cripto : durante años, la Oficina Federal de Investigaciones y la República de Corea han estado emitiendo advertencias sobre Corea del Norte. “oficio comercial”De explotadores que obtienen acceso a infraestructura clave a través del empleo. «La contratación o el apoyo a trabajadores de TI de la RPDC sigue planteando numerosos riesgos, que van desde el robo de propiedad intelectual, datos y fondos, hasta daños a la reputación y consecuencias legales», escribieron las agencias en un reciente anuncio de servicio público.

Retroceder

Además de la vergüenza de tener al menos un hacker norcoreano trabajando dentro de los proyectos que pretenden robar, la respuesta de la comunidad Cripto al ataque de Munchables también puso de manifiesto la vulnerabilidad de estos sistemas. Por ejemplo, varias personas en Cripto Twitter sugirieron que, dado que Munichables se encontraba en la controvertida blockchain de Blast, que se mantiene esencialmente mediante una simple billetera multifirma, el equipo de Blast podría intervenir revirtiendo la cadena para recuperar los fondos robados.

“Si bien estoy totalmente en contra de esta acción en cualquier otra cadena, no tomo a Blast como una marca de 'cadena de descentralización seria' sino como un lugar para juegos, experimentos, degeneración, ETC”, dijo Adam Cochran, una voz influyente en los círculos de Ethereum y socio de Cinneamhain Ventures. en apoyo de la posible reversión.

Sin duda, Blast esuna red controvertida ONE que recaudó más de ONE millones de dólares sin siquiera un prototipo— pero no es tan diferente de cómo se construyen otras capas 2 de OP Stack. Por ejemplo, después de que Eric Wall recordara a sus seguidores que Blast y la red Base de Coinbase ejecutan esencialmente el mismo código base, el desarrollador principal de Base, Jesse Pollack, tuiteó que Base “las claves no están controladas por ONE parte o entidad”.En cambio, Base está controlada por una billetera multi-firma 2/2, que teóricamente también podría revertir la cadena si ambas partes estuvieran de acuerdo.

Ver también:El robo de $600 millones en POLY demuestra que DeFi necesita hackers para volverse invulnerables | Opinión

Actualmente, ninguna solución de escalado de Ethereum es verdaderamente "descentralizada" en el sentido común, incluso si los equipos que las desarrollan suelen adherirse a los principios de acceso sin permisos y de no censurar a los usuarios. En cierto sentido, como señala Chervinsky, muchos legisladores que "comprenden la diferencia entre Tecnología centralizada y descentralizada" optarían por la primera, ya que significa que los fundadores mantienen el control de lo que sucede en la cadena.

"Pero, en última instancia, la responsabilidad de hacerlo mejor recae sobre los constructores del sector", añadió.