Informe de seguridad cripto: agosto de 2022

Cada mes, el equipo de seguridad de MetaMask informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.

En agosto de 2022, el proyecto Endo demostró la aplicación de políticas al estilo LavaMoat en su mapeador de compartimentos, la herramienta Snow corrigió múltiples vulnerabilidades y exploró la integración del bloqueo SES, y el programa de recompensas por errores de MetaMask en HackerOne pagó $22,000 en cinco problemas resueltos durante sus primeros dos meses. En cuanto a las amenazas, grupos de phishing aprovecharon la confusión en torno a la próxima fusión (Merge) de Ethereum, enviando correos masivos que suplantaban a entidades de confianza como Infura y promovían una conversión inexistente a "ETH 2.0", mientras que la economía de las estafas mantuvo su ritmo: se estima que en 2022 se lanzaron 64,661 nuevos tokens honeypot, un 83% más que en 2021. El análisis completo se encuentra a continuación, pero primero...

Pionera STEM destacada: Leslie Lamport, creador de la teoría de tolerancia a fallos bizantinos y LaTeX

El artículo de Leslie Lamport de 1982 "The Byzantine Generals' Problem" formalizó el desafío de alcanzar consenso entre nodos distribuidos cuando algunos pueden actuar de forma maliciosa, el problema exacto que los protocolos de prueba de participación (proof-of-stake) y prueba de trabajo (proof-of-work) resuelven para proteger las redes blockchain. Su algoritmo de consenso Paxos es la base de los sistemas distribuidos modernos, y creó LaTeX, el sistema de preparación de documentos utilizado en toda la publicación científica. Lamport recibió el Premio Turing de la ACM en 2013.

Campañas de phishing sobre el Merge de Ethereum suplantan a entidades de confianza con falsas estafas de conversión a ETH 2.0

En agosto de 2022, los estafadores intensificaron las campañas de phishing diseñadas para explotar la confusión e incertidumbre en torno a la actualización de red Merge de Ethereum (completada el 15 de septiembre de 2022). Circularon correos electrónicos sofisticados que suplantaban a entidades de confianza como Infura, animando a los usuarios a "convertir su ETH a ETH 2.0", un token inexistente. El Merge realizó la transición de Ethereum de prueba de trabajo a prueba de participación y no requirió ninguna acción por parte del usuario: sin intercambio de tokens, sin nueva billetera y sin migración de ETH. En vísperas del Merge, Consensys publicó contenido para desmentir mitos y contrarrestar la desinformación. Los usuarios que tenían ETH en una billetera de autocustodia compatible con EVM, como MetaMask, no necesitaban realizar ninguna acción tras la actualización de red del Merge.

Las estafas honeypot en cripto utilizan restricciones ocultas en contratos inteligentes para atrapar los fondos de los compradores

Consensys publicó una guía sobre la mecánica de las estafas honeypot que explica cómo los atacantes despliegan contratos inteligentes que parecen ofrecer oportunidades de trading rentables, pero contienen código oculto que impide a los compradores vender. El contrato permite las compras, lo que eleva el precio del token, mientras que una restricción oculta bloquea todas las transacciones de venta excepto las de la dirección del desplegador. Las señales de alerta más comunes incluyen tokens sin historial de ventas, código fuente del contrato no verificado y pools de liquidez de una sola billetera.

El mapeador de compartimentos de Endo demuestra la aplicación de políticas al estilo LavaMoat en una prueba de concepto

El proyecto Endo completó una prueba de concepto que integra políticas de seguridad al estilo LavaMoat en su mapeador de compartimentos. El experimento demostró la dotación selectiva de variables globales y el acceso controlado a las dependencias, con la política definida en el momento de la carga o durante la creación del archivo, integrada en el mapeador de compartimentos y aplicada durante la fase de vinculación. El trabajo de seguimiento planificado incluía mejoras en los identificadores de paquetes, compatibilidad con propiedades anidadas en las variables globales de la política, encapsulado y desencapsulado de estos valores para las funciones dotadas, y mayor experimentación con la atenuación integrada.

Snow corrige múltiples vulnerabilidades y explora la integración del bloqueo SES

Snow, la herramienta de LavaMoat que aplica políticas de seguridad recursivas en todos los iframes y ventanas creados dentro de una aplicación web, fue sometida a una ronda de pruebas y explotación. Se identificaron y corrigieron múltiples vulnerabilidades, y una de ellas desencadenó una mejora importante en la arquitectura de seguridad interna de Snow. La corrección abrió la posibilidad de integrar SES lockdown(), la función de refuerzo de ECMAScript seguro, para fortalecer aún más la defensa de Snow contra los ataques basados en realm. LavaMoat también inició una actualización de la documentación de sus herramientas.

El programa de recompensas por errores en HackerOne otorga $22,000 en 5 problemas resueltos durante los primeros dos meses

Nuestro programa de recompensas por errores en HackerOne, lanzado el 13 de junio de 2022, recibió 171 informes en sus primeros dos meses. El tiempo promedio de primera respuesta fue de 5 horas. Se resolvieron cinco problemas —1 de severidad alta, 3 de severidad media y 1 de severidad baja— con $22,000 otorgados a los reporteros. El tiempo medio de reparación (MTTR) de esos problemas fue de 44.4 días. Los activos dentro del alcance incluían MetaMask Extension (MetaMask/metamask-extension) y MetaMask Mobile (MetaMask/metamask-mobile).

Problemas de recompensas por errores resueltos (primeros dos meses):

El Informe de Seguridad Cripto de agosto de 2022 de MetaMask cubrió las campañas de phishing sobre el Merge de Ethereum que suplantaban a entidades de confianza con falsas estafas de conversión a ETH 2.0, la mecánica de las estafas honeypot en cripto con un estimado de 64,661 nuevos tokens honeypot desplegados en 2022, y la integración de prueba de concepto de Endo de la aplicación de políticas al estilo LavaMoat en su mapeador de compartimentos. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.