Bifurcación de Ethereum, ETHPoW, sufre su primer hackeo de contrato inteligente

El ataque tuvo lugar en un contrato del puente Omni y no afectó la cadena ETHPoW en sí. El token ETHW cayó 30% después del incidente.

***

• ETHPoW sufre su primer hackeo. 
• Fue un ‘ataque de repetición’ que aprovechó una vulnerabilidad en el puente Omni.
• ETHW se derrumbó 30% después del incidente.

ETHPoW (ETHW), la cadena de bloques de prueba de trabajo (PoW) recientemente bifurcada de Ethereum, sufrió su primer ataque de piratería desde su lanzamiento la semana pasada.

La firma de seguridad Blockchain, BlockSec, reveló por primera vez el hackeo en un tweet el domingo. De acuerdo con los investigadores, la cadena sufrió un “ataque de repetición” debido a un contrato de tercero defectuoso que permitió a un actor malicioso obtener 200 tokens ETHW, o cerca de USD $1.074 para el momento de edición.

El incidente ocurrió a través de Omni Bridge, un protocolo puente en la cadena Gnosis. “El explotador (0x82fae) primero transfirió 200 WETH a través del puente omnidireccional de la cadena Gnosis, y luego reprodujo el mismo mensaje en la cadena PoW y obtuvo 200 ETHW adicionales“, indicó la firma en un tweet.

1/ Alert | BlockSec detected that exploiters are replaying the message (calldata) of the PoS chain on @EthereumPow. The root cause of the exploitation is that the bridge doesn't correctly verify the actual chainid (which is maintained by itself) of the cross-chain message.

— BlockSec (@BlockSecTeam) September 18, 2022

Como explica CoinDesk, un ataque de repetición se produce cuando una misma transacción se duplica en dos cadenas de bloque cuando se supone que no debe hacerlo. En este caso, el pirata informático transfirió unos 200 tokens wETH a través del puente, y la misma transacción se replicó en la cadena PoW, lo que resultó en que el atacante obtuviera 200 ETHW adicionales.

En una entrada de blog, BlockSec detalló que “la causa raíz de la explotación es que el puente Omni en la cadena PoW usa el antiguo chainId y no verifica correctamente el chainId real del mensaje entre cadenas“. Esto supone que el problema puede extenderse a otros protocolos, alertó la firma.

CoinDesk explica que una identificación de cadena es un conjunto de números utilizados por MetaMask, la billetera de criptomonedas basada en navegador, para firmar transacciones para la red. Una ID de cadena incorrecta hace que las transacciones fallen porque los usuarios no están conectados a la red correcta, lo que hace que la red quede inutilizable.

ETHPoW sufre un primer incidente de seguridad

Los desarrolladores de ETHPoW confirmaron el incidente; sin embargo reiteraron que el ataque no se originó “en el nivel de la cadena” ya que explotó una vulnerabilidad del contrato inteligente de Onmi y no había afectado directamente a la red Ethereum PoW en sí.

“Nos hemos puesto en contacto con el puente de todas las formas y les hemos informado de los riesgos“, dijo el equipo en una entrada de blog. “Los puentes deben verificar correctamente el ChainID real de los mensajes entre cadenas“.

El ataque se produce tan solo unos días después de que la cadena de bloques Ethereum se dividiera, originando la  nueva versión. Ethereum (ETH) llevó a cabo el jueves una muy esperada actualización, conocida como The Merge, que vio su cadena de bloques cambiar de mecanismo de consenso de PoW a la prueba de participación (PoS), que volvió la minería de ETH obsoleta.

En un intento por continuar con la minería, un grupo de usuarios de Ethereum optaron por bifurcar la red, creando una nueva versión bautizada como ETHPoW que mantiene la prueba de trabajo.

• Llegó The Merge y nace ETHPoW: Acá algunos datos de interés

De acuerdo con CoinDesk, el proyecto ya experimentaban fallas desde su primer día de lanzamiento, cuando los usuarios advirtieron que no podían acceder a los servidores de la cadena de bloques utilizando la información pública proporcionada por Ethereum PoW.

Mientras tanto, el hackeo tuvo un impacto negativo en la moneda nativa de la cadena bifurcada. Según datos de CoinMarketCap, ETHW cayó más de 30% después de las noticias sobre el incidente del fin de semana. El token se ubicaba tan alto como USD $7,5 durante las primeras horas del domingo, pero se desplomó a USD $4 unas horas después. Para el momento de edición, ETHW se cotiza en USD $5,2.

Lecturas recomendadas

• ¿Qué esperar de Ethereum ahora que finalizó The Merge?
• Más de 20 grupos mineros esperan fork de Ethereum para comenzar a minar ETHW 
• Dos direcciones estarían controlando el 46% de los nodos PoS en la red de Ethereum, revela informe

Artículo de Hannah Estefanía Pérez / DiarioBitcoin

Imagen de Unsplash 

ADVERTENCIA: Este es un artículo de carácter informativo. DiarioBitcoin es un medio de comunicación, no promociona, respalda ni recomienda ninguna inversión en particular. Vale señalar que las inversiones en criptoactivos no están reguladas en algunos países. Pueden no ser apropiadas para inversores minoristas, pues se podría perder el monto total invertido. Consulte las leyes de su país antes de invertir.