Solana se ha convertido en una de las redes de blockchain de contratos inteligentes de más rápido crecimiento desde que se lanzó recientemente por primera vez en marzo de 2020.
El valor total bloqueado (TVL) en los protocolos de finanzas descentralizadas (DeFi) en la red creció de casi $ 152 millones en marzo de 2021 a $ 8,08 mil millones al momento de escribir, según datos de DefiLlama.
Simultáneamente, la red también ha estado sujeta a varios problemas e interrupciones de la red. Más recientemente, el puente de tokens Wormhole se vio afectado por una vulnerabilidad de seguridad el 3 de febrero que culminó con la pérdida de 120 000 tokens de Ether (wETH) envueltos, por un valor de más de $375 millones al precio actual de Ether ( ET).
Este exploit fue el más grande hasta ahora en 2022 y el segundo pirateo de DeFi más grande de la historia, luego del pirateo de Poly Network donde se robaron más de $ 600 millones de tres redes de blockchain diferentes cuando se comprometió un puente Ethereum.
Wormhole es un protocolo de puente de token que conecta múltiples redes de blockchain como Ethereum, Solana, Terra, BNB Smart Chain, Polygon, Avalanche y Oasis. Permite a los usuarios enviar y recibir tokens entre estas redes sin necesidad de un intercambio centralizado o procesos de conversión tediosos. Si bien el Ether envuelto fue el único activo afectado por este exploit, Certik, una firma de auditoría de contratos inteligentes, mencionó que el puente de Wormhole a la red blockchain de Terra podría verse afectado por la misma vulnerabilidad que el puente Solana.
El protocolo de puente de tokens ha publicado un informe detallado de incidencias que rastrea la cronología del ataque y todos los aspectos asociados, incluidas las auditorías de seguridad, las recompensas por errores y la hoja de ruta de seguridad. Cointelegraph discutió este truco con Max Galka, el CEO de la firma de análisis de datos de blockchain Elementus. El dijo:
“Aproximadamente tres horas antes de que se tome el Ether de Wormhole, la billetera que actualmente contiene los fondos robados que tenía una transacción más pequeña depositada por Tornado Cash, un mezclador que anonimiza las transacciones. Hubo una transferencia de un mezclador en Ethereum a esta billetera que ahora contiene los fondos robados”.
Galka dijo además que, si bien es evidente por qué el hacker habría experimentado con Tornado Cash en primer lugar, es menos claro por qué usarían el mezclador para depositar fondos exactamente en la misma billetera antes de ejecutar un exploit importante.
Poco después, Wormhole lanzado un programa de recompensas por errores con Immunefi el 12 de febrero con una recompensa de $ 10 millones que cubre contratos inteligentes, interfaz de usuario web (UI), nodos guardianes e integraciones de Wormhole. Esto lo convierte en el programa de recompensas por errores más grande del criptoverso, a la par del programa de recompensas por errores de Maker DAO.
Jump Crypto, el brazo de criptoinversión de la firma comercial Jump Trading y uno de los principales inversores que respaldan a Wormhole, ha intervenido para “hacer que los miembros de la comunidad estén completos”. La firma de capital de riesgo reemplazó los 120.000 ETH y declaró a través de una publicación de Twitter el mismo día del ataque que la firma cree en un futuro multicadena y ese Wormhole es una infraestructura esencial para este futuro.
Preocupaciones de seguridad con la actividad entre cadenas
Vitalik Buterin, cofundador de Ethereum, escribió en una sesión de Reddit AMA junto con el Equipo de Investigación de la Fundación Ethereum donde dijo que el futuro de la tecnología blockchain es multicadena y no entre cadenas. Buterín tiene razonado esto con preocupaciones de seguridad de puentes y tokens no nativos con un enfoque en la probabilidad de ataques del 51%. Dijo: “Siempre es más seguro tener activos nativos de Ethereum en Ethereum o activos nativos de Solana en Solana que tener activos nativos de Ethereum en Solana o activos nativos de Solana en Ethereum”.
Mi argumento de por qué el futuro será *cadena múltiple*, pero no será *cadena cruzada*: existen límites fundamentales para la seguridad de los puentes que saltan a través de múltiples “zonas de soberanía”. desde https://t.co/3g1GUvuA3A: pic.twitter.com/tEYz8vb59b
— vitalik.eth (@VitalikButerin) 7 de enero de 2022
Jagdeep Sidhu, el director de tecnología de Syscoin, una red de cadena de bloques de prueba de trabajo (PoW) que se “mina fusionada” con Bitcoin, habló con Cointelegraph más sobre esta narrativa. Él dijo: “Simplemente quiere decir que donde hay una cadena de bloques, hay una zona de soberanía dentro de esa cadena que tiene libre albedrío sobre la seguridad de esa cadena de bloques. Cada vez que los bloques retroceden, por ejemplo, todos los sistemas que dependen de la seguridad de esa cadena también retroceden. Debido a esto, al crear puentes entre cadenas, debe asumir un nuevo sistema de consenso que observe y actúe sobre las reversiones o espere con cautela las posibilidades de una reversión, según el valor de la transacción”.
Sidhu dijo además que el hackeo de Wormhole reveló las complejidades de crear intercambios y puentes entre cadenas, ya que el ataque solo se debió a una externalidad del equipo de Solana que terminó una determinada operación en el legado del código de consenso. Esta operación abrió una laguna en la lógica de Wormhole que fue aprovechada por el hacker.
A pesar de que este ataque en particular afectó a un puente entre cadenas, cabe señalar que, técnicamente, se utilizó de un exploit de contrato inteligente, que ha existido desde que existe el concepto de contratos inteligentes. Galka declaró:
“La historia de los contratos inteligentes ha involucrado un flujo bastante consistente de vulnerabilidades y hacks que se remontan a los primeros días de Ethereum cuando el DAO fue atacado en 2016. En general, los contratos de puente entre cadenas tienen grandes saldos que los mismos en objetivos principales. Históricamente, siempre ha ocurrido ataques a los contratos inteligentes. Esperaría que eso continuara”.
Cointelegraph también discutió este aspecto del hackeo con Anton Bukov, cofundador de 1inch Network, un agregador DEX, quien mencionó que la causa que condujo a este hackeo fue un error de contrato inteligente de bajo nivel. Estaba relacionado con el mecanismo que Solana usó para las llamadas de contrato inteligente precompiladas. Señaló que la corrección del error fue pública. disponible en el repositorio GitHub del protocolo de interoperabilidad durante más de dos semanas antes del ataque.
La solución que está disponible públicamente podría haber sido la señal para que el explotador identificara el ataque. Bukov también estuvo de acuerdo con las preocupaciones de Buterin sobre las operaciones de cadena cruzada y afirmó que “las operaciones de cadena cruzada son mucho más peligrosas y vulnerables que cualquier otra operación de cadena de bloques”.
Al menos 5 puentes fueron pirateados desde mediados de 2021, los atacantes podrán robar más de $ 1B. Nunca subestime la importancia de las auditorías de seguridad. Hace tres hacks @VitalikButerin nos advertimos sobre los peligros de la cadena cruzada: https://t.co/jvmLOIEQlE pic.twitter.com/bQoht0FNve
—Antón Bukov (@k06a) 3 de febrero de 2022
Paquetes acumulativos de conocimiento cero
A pesar del rápido crecimiento de Solana en el corto tiempo transcurrido desde su lanzamiento, la red se ha vuelto cada vez más susceptible a problemas a medida que más usuarios comienzan a incorporarse. La cadena tuvo un mal comienzo de año cuando enfrentado seis cortes de rojo en enero que causaron mucha frustración a su comunidad.
Relacionado: ¿Escalabilidad o estabilidad? Las interrupciones de la red de Solana muestran que aún se necesita trabajo
Sidhu dijo que Solana, como todas las demás redes alternativas de contratos inteligentes, utiliza una arquitectura monolítica que no proporciona economías de escala. Debido a esto, a medida que más usuarios ingresen a la red, eviten las tarifas y los recursos para mantener la red estable, segura y descentralizada.
Sugiriendo una alternativa a este problema entrante, dijo: “La mejor manera que conocemos para escalar es a través de una arquitectura modular. Esto es hacia lo que Ethereum y algunas otras cadenas de bloques, como Syscoin, están en transición debido a la creación de grandes soluciones de escalado, como acumulaciones optimistas y basadas en pruebas de conocimiento cero”.
Al demostrar una solución detallada para este problema, Sidhu mencionó que la mejor solución para los activos de cadena cruzada es usar pruebas de conocimiento cero (ZK) como una mejor alternativa a tener el fondo común de dinero sentado en un consenso externo como un multipartidista. protocolo que requiere una suposición mayoritaria honesta de validadores externos. Este uso de pruebas ZK reemplazaría el consenso externo con pruebas de validez matemática.
No obstante, también agregó que ninguna de las soluciones es tan segura como usar una capa 1 confiable. Agregó: “Un puente ZK es una mejora prometedora para el puente entre cadenas, pero no creo que deba usar como un puente cruzado genérico. -ecosistema DeFi en cadena, ya que, por definición, no puede proporcionar tanta seguridad como simplemente usar una capa segura 1″.
Bukov dijo las posibilidades de que este truco también se replique con puentes en otras redes de blockchain:
“Históricamente hablando, ha habido casos de una parte que explota el código y luego los imitadores aprovechan esta vulnerabilidad inicial. En 2017, se hackeó el código subyacente de una serie de billeteras Ethereum multifirma. En este caso, se produjeron varios ataques de seguimiento por parte de otros actores que aprovecharon la misma vulnerabilidad”.
Este truco podría ser una señal para que los principales desarrolladores de protocolos de puente interoperables y otras redes de cadenas de bloques de contratos inteligentes procedan con precaución para los contratos y activos inteligentes de cadena cruzada y trabajen en actualizaciones periódicas, auditorías, recompensas de errores, etc., para tapar lagunas costosas como estas en sus operaciones.
