Vulnerabilidades de la Web2: un peligro pasado por alto para los proyectos de Web3
Puntos destacados
Los proyectos DeFi están siendo hackeados a través de las vulnerabilidades de la Web2.
En dos casos recientes, se utilizaron la gestión de etiquetas y los sistemas de nombres de dominio para comprometer la seguridad de proyectos DeFi.
Los equipos de Web3 pueden salvaguardar el ecosistema más amplio prestando atención a los requisitos de seguridad de Web2.
En los últimos meses, hemos visto una serie de proyectos de Web3 afectados por hackers que utilizaron las vulnerabilidades de Web2 para robar cientos de miles de dólares en fondos de usuarios. Otros proyectos pueden aprender de esto. Vale la pena tomarnos un momento para reflexionar sobre estas vulnerabilidades de Web2 para que trabajemos juntos en la protección del ecosistema Web3.
La tecnología Blockchain ha revolucionado las finanzas. Los usuarios pueden administrar directamente su propio dinero e inversiones gracias a la autocustodia, los contratos inteligentes y los productos Web3. Pero dentro de este panorama cambiante debe haber un equilibrio entre la descentralización y la seguridad. Esto último es particularmente importante cuando los fondos de las personas comunes están involucrados. Dada la naturaleza descentralizada de la Web3, la atención se centra a menudo en garantizar que los protocolos de blockchain y los contratos inteligentes que son el corazón de los diferentes productos y plataformas sean robustos, seguros y estén libres de vulnerabilidades.
Sin embargo, muchos proyectos de Web3 siguen apoyándose en los marcos y la tecnología de Web2 para ejecutar funcionalidades adicionales sobre sus protocolos centrales de blockchain. Así, los hackers están empezando a utilizar las vulnerabilidades de la Web2 como vectores de ataque cuando buscan robar fondos de proyectos y usuarios. Un ejemplo es aprovechar el código o los sistemas del front-end en lugar de atacar los propios contratos inteligentes.
¿Cuáles son estas vulnerabilidades de la Web2? ¿Cómo funcionan? ¿Y qué se puede hacer al respecto? En este artículo responderemos a estas preguntas analizando dos importantes proyectos DeFi que, en los últimos meses, han caído por las vulnerabilidades de la Web2: KyberSwap y Curve Finance. Sacaremos algunas conclusiones de estos ejemplos para ayudar a la comunidad en general a mantenerse a salvo.
KyberSwap pierde 265,000 USD por vulnerabilidades de Google Tag Manager
El 1 de septiembre de 2022, el exchange descentralizado KyberSwap se vio atacado por la explotación de una vulnerabilidad del front-end. El ataque causó la pérdida de 265,000 USD. ¿Qué pasó? En resumen, los hackers insertaron código malicioso en el Google Tag Manager (GTM) de KyberSwap, lo que les permitió transferir los fondos de los usuarios a sus propias direcciones.
Google Tag Manager (GTM): una vulnerabilidad de Web2
Se trata de una vulnerabilidad de Web2 porque GTM no tiene nada que ver con la funcionalidad del protocolo de blockchain ni de los contratos inteligentes de KyberSwap. GTM es un sistema de gestión de etiquetas que ayuda a agregar y actualizar etiquetas de marketing digital para cosas como el seguimiento de conversiones y el análisis del sitio. Los hackers pudieron obtener acceso a la cuenta GTM de KyberSwap mediante phishing, lo que les permitió insertar el código malicioso. Esto les dio a los delincuentes acceso a los fondos de los usuarios porque el front-end de KyberSwap se vio comprometido, lo que supuso una pérdida de 265,000 dólares.
La secuencia de comandos se dirigió específicamente a billeteras de ballenas. Kyber Network, el centro de liquidez detrás de KyberSwap, consiguió desactivar el GTM y eliminar la secuencia de comandos malicioso, y de esta manera logró impedir que la actividad delictiva se siguiera desarrollando. Como nota al margen: KyberSwap anunció que todas las pérdidas serían compensadas. Sin embargo, si se hubiera prestado más atención a la seguridad de Web2, este ataque de front-end podría haberse evitado por completo.
Curve Finance pierde 570,000 USD por una vulnerabilidad del DNS
KyberSwap no es el único proyecto DeFi que ha sufrido recientemente la explotación de una vulnerabilidad del front-end. El 9 de agosto de 2022, un grupo de atacantes vulneró la seguridad del exchange descentralizado Curve Finance y se robó 570,000 USD en Ethereum (ETH) de las billeteras de los usuarios. Esta vez el ataque de front-end se debió al envenenamiento de la caché del DNS, una vulnerabilidad que permitió a los hackers redirigir a los usuarios que intentaban llegar al dominio de Curve Finance. En su lugar, los usuarios fueron dirigidos a un sitio falso.
Envenenamiento de la caché del DNS: vulnerabilidad de Web2
DNS es la abreviatura de "Domain Name System" o sistema de nombres de dominio. Es una de las herramientas fundamentales que permite a las personas navegar en Internet de manera fácil. Cada vez que alguien escribe un nombre de dominio, su dispositivo envía una consulta a un servidor DNS que solicita la dirección IP asociada.
Normalmente, esta consulta pasará por varios servidores DNS hasta que encuentre la dirección correspondiente. Piensa en el Internet como una enorme e intrincada red de autopistas, en la que cada vía lleva a un sitio web diferente. En estas vías, los servidores DNS funcionan como agentes de tráfico que guían a los autos hacia la dirección correcta.
En el caso de Curve Finance, los hackers crearon una copia idéntica del servidor DNS real de Curve y redirigieron a los usuarios a un sitio web falso que lucía exactamente igual a la página de inicio del proyecto oficial. Esto permitió a los delincuentes implantar un contrato malicioso en la "página de inicio" de Curve. Cuando los usuarios aprobaron el uso del contrato en sus billeteras, sus fondos fueron drenados. La suma total robada fue de 570,000 dólares.
¿Cómo pueden los proyectos proteger a sus usuarios? Lecciones que se deben aprender
La mayor lección que hay que aprender aquí es que no importa lo robustos que sean los contratos inteligentes si el proyecto no se toma con la misma seriedad la seguridad de la Web2. Los equipos deben pensar en las brechas que pueden existir entre los espacios de Web2 y Web3, y asumir una mayor responsabilidad en la seguridad general del proyecto.
Lo que podemos aprender de la explotación de la vulnerabilidad de GTM
En el caso de KyberSwap y la vulnerabilidad de GTM, por ejemplo, los equipos deben recordar el uso de la autenticación de dos factores (2FA) para proteger herramientas complementarias, como sus cuentas de GTM. Asimismo, los proyectos solo deberían dar acceso a un número limitado de personas a las cuentas que pueden implementar el código que deseen en su sitio web. Teniendo en cuenta lo peligroso que es tener esa capacidad, debe existir un sistema adecuado de control de acceso. En Binance, por ejemplo, separamos el acceso en tres funciones diferentes: desarrollador de etiquetas, verificador de seguridad y editor. Ninguno de ellos puede agregar un nuevo código de sitio web por sí solo: se necesitan de los tres para completar el proceso.
Lo que podemos aprender de la explotación de la vulnerabilidad de DNS
Evitar un servidor DNS vulnerado siempre será más sencillo que lidiar con las consecuencias. Esto es lo que los usuarios habituales pueden hacer para proteger sus fondos:
No hagas clic en enlaces sospechosos.
Borra la caché de tu DNS periódicamente.
Analiza regularmente tu dispositivo para encontrar posibles programas maliciosos.
Sin embargo, existen límites en lo que la gente común puede hacer para protegerse en esta situación. Los servidores DNS vulnerados a menudo redirigen a los usuarios a una página de inicio falsa idéntica a la original, por lo que es casi imposible detectar que no es la página real.
La responsabilidad recae en las empresas de criptomonedas. Los proyectos deben asegurarse de utilizar un proveedor de gestión de dominios seguro y de buena reputación. En el caso del hackeo de Curve Finance, el CEO de Binance, CZ, señaló en Twitter que utilizaron "un DNS poco seguro". Ningún proyecto de Web3 debe hacerlo. Es muy susceptible a la ingeniería social".
Los equipos no deberían intentar reducir costos con un proveedor de DNS de bajo nivel. Un proveedor confiable debe admitir protocolos personalizados que eviten que los hackers alteren la configuración del nombre de dominio.
La Web3 ofrece una gran cantidad de oportunidades, pero no debemos ignorar las amenazas a la seguridad que han estado allí desde la era anterior de Internet. Estemos atentos y salvaguardemos juntos nuestro ecosistema en todos los frentes.