La explotación de $6 millones en el vault de Base expone una brecha de divulgación: Immunefi

Una explotación de $6 millones en un vault de Base no identificado ha expuesto una brecha en la presentación de vulnerabilidades, según el jefe de seguridad de Immunefi, con aproximadamente $31.7 millones permaneciendo en el vault en el momento de la reunión informativa sobre el incidente.

Resumen

• Aproximadamente $6 millones en wstETH fueron robados después de que un contrato malicioso obtuviera acceso al vault.
• Siete firmantes de Safe permanecieron no identificados, sin respuesta pública del equipo más de 24 horas después.
• El jefe de seguridad de Immunefi dijo que las direcciones aprobadas podían tomar activos del vault sin necesidad de aportar colateral.
• Magalhães dijo que una recompensa por errores podría haber detectado la falla, pero el anonimato complicó la acción de los hackers éticos.

Gonçalo Magalhães, jefe de seguridad en Immunefi, dijo a crypto.news que los operadores no identificados del vault dejaron a un investigador ético con pocas opciones para abordar su debilidad en la lista blanca sin arriesgar problemas legales.

En la reunión informativa sobre el incidente que acompañó sus comentarios, la debilidad había sido identificada la semana anterior, pero el investigador no tenía un canal de divulgación claro. Más de 24 horas después del ataque, la reunión informativa indicó que ningún equipo había reclamado públicamente el vault, reconocido la pérdida o anunciado una remediación.

Los permisos del vault de Base permitieron retiros sin colateral

TokenPost informó que el atacante utilizó una billetera multisignature de Safe para agregar un contrato malicioso a la lista blanca de préstamos del vault. Según su relato, el contrato luego retiró 1,783 aBaswstETH y canjeó los tokens a través de Aave V3 por aproximadamente 1,783 wstETH.

Bajo la evaluación de Magalhães, restringir el acceso a direcciones aprobadas daba la apariencia de protección porque los atacantes normalmente tendrían dificultades para entrar en la lista blanca. Sin embargo, una vez que una dirección recibía aprobación, el vault le permitía tomar activos sin proporcionar colateral, dijo.
"Pero considerando que cualquier dirección en la lista blanca podría tomar el aBaswstETH del vault sin necesidad de colateral, en realidad se convierte en una gran vulnerabilidad."

El jefe de seguridad describió la lista blanca en sí como una protección insuficiente contra esa capacidad de retiro. Su explicación se centró en lo que una dirección aprobada podría hacer con los fondos después de obtener acceso, en lugar de simplemente si el acceso estaba restringido.

Antes de la explotación, el vault había pasado 25 días sin ejecutar una transacción de Safe, según TokenPost. La publicación mencionó la ingeniería social y la colusión como posibles explicaciones para el cambio de acceso, aunque afirmó que ninguna había sido establecida.

Con siete firmantes de Safe aún no identificados en la reunión informativa sobre el incidente, Magalhães instó a las personas que controlan la billetera a identificarse y responder. Dijo que su silencio continuado justificaba sospechas, sin presentar esa preocupación como prueba de participación en el robo.

Un vault no identificado dejó al hacker ético sin protección clara

Para el investigador que encontró la debilidad, Magalhães dijo que la falta de un operador identificado complicaba cualquier intento de intervenir de manera segura.

"Considerando que este es un vault no identificado, un hacker ético apenas puede realizar alguna acción con garantía de no dejarlo en problemas legales."

En sus comentarios, el problema no se limitaba a encontrar una falla técnica. Magalhães también cuestionó la propiedad desconocida del vault y la aprobación que permitió a un actor de amenaza entrar en su lista blanca, diciendo que ambos planteaban sospechas sobre sus creadores.

El 21 de septiembre, el CEO de Immunefi, Mitchell Amador, abordó la divulgación privada y la autorización tras la explotación de Liquid Network. Amador dijo que los investigadores deberían informar sobre debilidades de manera privada, preferiblemente a través de un programa de recompensas definido, en lugar de mover fondos de usuarios y negociar el pago después.

En ese incidente, actores no identificados devolvieron 3,400 BTC pero retuvieron 598.5 BTC, según el informe. Blockstream rechazó su reclamo de divulgación responsable y se negó a su demanda de una recompensa del 10%.

Amador dijo que los protocolos deberían establecer condiciones de rescate antes de una emergencia, incluyendo las acciones que un investigador puede tomar y los términos de recompensa. El informe también describió el marco Whitehat Safe Harbor de Immunefi como una forma de establecer esas condiciones por adelantado.

Las recompensas por errores podrían detectar fallos que las auditorías pasan por alto

Al ser preguntado si una recompensa por errores por sí sola habría prevenido necesariamente el ataque a Base, Magalhães dijo que la comunidad de seguridad probablemente habría identificado el problema de retiro del contrato a través de un programa.

"Una recompensa por errores definitivamente podría haber detenido este ataque, ya que es probable que la comunidad de seguridad hubiera encontrado este problema de flares en el contrato inteligente."

En un informe del 10 de agosto sobre los resultados de la recompensa por errores de julio, Immunefi dijo que los investigadores recibieron $2.32 millones por vulnerabilidades confirmadas durante el mes. Los informes confirmados y pagados aumentaron un 18% desde junio, mientras que la compañía dijo que sus programas previnieron 374 amenazas.

El mismo informe citó la comparación de Immunefi de 1,178 auditorías realizadas por firmas de primer nivel y 58 auditorías competitivas. Según la empresa, las competiciones encontraron un promedio de 6.2 vulnerabilidades graves por compromiso, en comparación con 1.5 en auditorías privadas.

Más allá de la lógica del contrato, Magalhães señaló compromisos de infraestructura y claves como evidencia de que las verificaciones de seguridad deben cubrir rutas adicionales hacia los fondos de los usuarios.

El 20 de julio, un informe sobre riesgos de firmantes e infraestructura citó el hallazgo de Hacken de que esos fallos representaron el 88.3% de aproximadamente $764 millones robados durante el segundo trimestre. Entre 1,427 proyectos rastreados, Hacken encontró que solo el 4% combinó auditorías, recompensas activas por errores y monitoreo de terceros.

Hacken también identificó 14 proyectos explotados que habían completado auditorías. Según su informe, los fallos incluyeron dispositivos de firmantes, claves de administrador, validadores de puentes y sistemas de backend fuera del código cubierto por revisiones convencionales.

Las acusaciones en EE. UU. muestran las apuestas de retiros no autorizados

En Estados Unidos, el Departamento de Justicia ha procesado a un ingeniero de seguridad que explotó intercambios descentralizados y negoció sobre el retorno de activos robados.

En diciembre de 2023, los fiscales federales anunciaron que Shakeeb Ahmed se había declarado culpable de fraude informático después de hackear dos intercambios y obtener más de $12 millones. Según el departamento, Ahmed acordó devolver fondos a un intercambio excepto por $1.5 millones si no informaba el ataque a las autoridades.

En el ataque separado a Nirvana Finance, los fiscales dijeron que el protocolo ofreció a Ahmed una recompensa de hasta $600,000 para devolver los activos robados. Él exigió $1.4 millones en su lugar, no llegó a un acuerdo y mantuvo aproximadamente $3.6 millones que había tomado, según el Departamento de Justicia.