tu guía para la seguridad de dapps

A medida que crece la web3, también lo hacen los riesgos asociados con las aplicaciones descentralizadas (dapps). Aquí compartimos consejos prácticos para mitigar estos riesgos.

A la vanguardia de las tecnologías web3 emergentes se encuentran las aplicaciones descentralizadas, a menudo llamadas dapps. Utilizan contratos inteligentes interconectados para realizar tareas específicas dentro de la aplicación, ejecutándose en blockchain como fragmentos de código. Son como un puente entre la Internet actual (Web 2.0) y la web3 en desarrollo.

Las Dapps aprovechan la seguridad, transparencia e indelebilidad inherentes a la tecnología blockchain para brindar a los usuarios una mayor privacidad y un mayor control sobre sus datos y activos digitales. Funcionan como la contraparte blockchain de las aplicaciones tradicionales y cubren redes sociales, finanzas, juegos y más.

Aunque la forma en que usa una dapp puede parecer similar a la de las aplicaciones normales, lo que sucede detrás de escena es diferente. En lugar de almacenarse en un gran servidor, las dapps se distribuyen en muchas computadoras llamadas “nodos” en una red blockchain.

La rápida expansión de web3 ha transformado el terreno tecnológico. Sin embargo, también ha traído nuevos desafíos de seguridad.

Riesgos y vulnerabilidades en web3 y dapps

Entre los riesgos de seguridad más destacados asociados con web3 y las aplicaciones descentralizadas se encuentran ataques de phishing. Estos ocurren cuando actores maliciosos crean sitios web fraudulentos o cuentas de redes sociales para engañar a los usuarios para que revelen sus claves privadas u otra información confidencial.

Otra amenaza estrechamente relacionada es Ingeniería socialun método engañoso que utilizan los ciberdelincuentes para engañar a los usuarios para que compartan sus credenciales de inicio de sesión.

Algunas deficiencias de seguridad surgen de la interacción entre las infraestructuras web3 y Web 2.0, mientras que otras son inherentes a protocolos como blockchain e IPFS (InterPlanetary File System).

Web3 se basa en el consenso de la red, lo que puede ralentizar la reparación de estas y otras vulnerabilidades.

Algunos riesgos de seguridad principales incluyen:

• Consultas API no cifradas y no verificadas: A pesar de la conciencia cotidiana sobre compartir información personal con fuentes no verificadas, las aplicaciones web3 a menudo dependen de llamadas API y respuestas que no autentican los extremos de la conexión. Web3 propone una descentralización completa con cualquier nodo de red capaz de interactuar directamente con los datos almacenados. Sin embargo, las interfaces de aplicaciones web3 todavía necesitan tecnologías Web 2.0 para la interacción del usuario. Muchas consultas de API web3 no están firmadas criptográficamente, lo que deja la puerta abierta a ataques en ruta, interceptación de datos y otras amenazas.
• Ataques de protocolo y puente: No todo el web3 está construido directamente sobre blockchain. Varias redes tienen plataformas denominadas capa 2 (L2) construidas sobre ellas. Además, dado que las cadenas de bloques suelen operar en silos, los desarrolladores han creado protocolos llamados puentes que tienen como objetivo permitir la comunicación entre diferentes redes. Los piratas informáticos pueden apuntar tanto a los protocolos L2 como a los puentes, ya que los consideran puntos débiles.
• Intercambios centralizados (CEX): Si bien los intercambios centralizados ofrecen comodidad a los comerciantes de criptomonedas, a menudo son un objetivo para los piratas informáticos debido al gran volumen de fondos que poseen. Ha habido varios casos en los que los CEX han sido víctimas de ataques cibernéticos, causando pérdidas significativas a sus usuarios.
• Robo de cuentas y billeteras móviles: Las historias de ataques a billeteras criptográficas o nft son familiares en los medios. Estos ataques suelen ocurrir cuando los piratas informáticos obtienen acceso a las claves privadas de los usuarios o engañan a los usuarios para que las entreguen mediante phishing.
• Malware y registradores de pulsaciones de teclas: Se trata de herramientas de software utilizadas por los piratas informáticos para acceder ilícitamente a las credenciales de usuario y a las claves privadas.
• Problemas de privacidad con el almacenamiento de datos descentralizado: A diferencia del acceso altamente restringido a las bases de datos en el modelo Web 2.0, cualquier nodo conectado puede acceder a los datos en una cadena de bloques. Plantea numerosos problemas de seguridad y privacidad, incluso si los datos son anónimos.
• Actualizaciones retrasadas: La naturaleza descentralizada de web3 dificulta la implementación rápida de correcciones de seguridad. Toda la red necesita aprobar cualquier cambio, lo que prolonga la presencia de fallas de seguridad, incluso después de su detección.
• Vulnerabilidades de seguridad en contratos inteligentes: Los contratos inteligentes, como cualquier código, pueden albergar importantes fallas de seguridad que podrían exponer los datos o los fondos de los usuarios. Los contratos inteligentes defectuosos han permitido a los piratas informáticos robar cantidades sustanciales de criptomonedas en los últimos tiempos.

Riesgos de los contratos inteligentes: ¿Qué dicen los expertos?

El 17 de noviembre de 2023, la plataforma de seguridad blockchain Immunefi presentó su informe sobre las causas fundamentales de las vulnerabilidades más dañinas en web3.

El informe, anunciado en Web Summit 2023, al que asistió crypto.news, presenta un nuevo estándar de clasificación de vulnerabilidades para web3. La investigación indica que las causas fundamentales de los ataques se dividen en tres categorías discernibles:

• Fallos de diseño en contratos inteligentes
• Mala codificación de los contratos.
• Debilidades de infraestructura

Si bien los protocolos de contratos inteligentes suelen recibir amplia atención, Immunefi señaló que el peligro podría residir en el nivel de infraestructura que se pasa por alto.

Según el informe, casi la mitad de todas las pérdidas monetarias por hackeos en 2022 fueron causadas por problemas de infraestructura, como un manejo deficiente de las claves privadas. Además, encontró que casi el 37,5% de todos los incidentes se debieron a errores de los desarrolladores en contratos inteligentes relacionados con el control de acceso, la validación de entradas y las operaciones aritméticas.

El director ejecutivo de la plataforma, Mitchell Amador, enfatizó que incluso un contrato inteligente bien diseñado podría verse comprometido si la infraestructura subyacente es vulnerable, lo que provocaría pérdidas sustanciales.

“Las cadenas de bloques son entornos abiertos y sin permisos. Eso significa que no solo estás protegiendo contra alguien que ha logrado colarse en tu infraestructura como lo estabas en la web tradicional, sino que estás protegiendo contra cualquiera que pueda ver tus contratos, cualquiera que pueda alterar tu producto”.

Mitchell Amador, director ejecutivo de Inmunefi

Al compartir sus pensamientos con crypto.news, Alex Dulub, fundador de Web3 Antivirus, una empresa de seguridad blockchain, señaló que la verdadera amenaza para web3 y las aplicaciones descentralizadas radica en las vulnerabilidades que surgen de una lógica de contrato inteligente incompleta. Según él, aunque los desarrolladores pueden utilizar requisitos específicos para definir cómo funcionan los contratos inteligentes, siempre existe el riesgo de que se utilicen de forma no deseada.

Dulub señaló que los piratas informáticos están siendo más creativos, experimentando con contratos y proyectos inteligentes, buscando inconsistencias que explotar.

“Desafortunadamente, detectar problemas tan complejos con herramientas o analizadores automáticos es casi imposible. ¿El mejor enfoque? Considere pruebas rigurosas, un desarrollo lógico cuidadoso, un análisis de todos los escenarios de uso potenciales, una auditoría exhaustiva y la implementación de un programa de recompensas por errores”.

Alex Dulub, fundador de Web3 Antivirus

Sipan Vardanyan, cofundador y director ejecutivo de la firma de ciberseguridad Hexens, se hizo eco de su preocupación, quien dijo que el trabajo de un hacker es encontrar lo que no es lo que pretende y crear vectores de ataque nuevos y más sofisticados.

“El simple hecho de saber lo que está sucediendo ahí fuera es absolutamente crucial porque es un campo pequeño y las noticias viajan rápido, así que todo lo que tienes que hacer es mantener la mano en el pulso”.

Siphan Vardanyan, director ejecutivo de Hexens

El estado actual de la seguridad de dapp

El informe de Immunefi muestra que de enero a octubre de 2023, el sector web3 sufrió reveses financieros de más de 1.400 millones de dólares causados ​​por 292 casos distintos de fraude y piratería.

El informe también indicó que los hackeos superaron al fraude en cuanto a la causa de las pérdidas financieras.

En octubre de 2023, los analistas atribuyeron alrededor de 16 millones de dólares en pérdidas a incidentes de piratería, siendo las plataformas defi la principal opción de ataque para piratas informáticos y estafadores.

En general, en el tercer trimestre de 2023, el análisis de Immunefi identificó 74 hacks y estafas, lo que provocó una pérdida total en todo el ecosistema web3 de 685 millones de dólares.

La cantidad implicó 662 millones de dólares perdidos en 47 incidentes de piratería informática y 22 millones de dólares en 27 incidentes de fraude. Dos proyectos, Mixin Network y multicadenafue testigo de la mayoría de las pérdidas en el tercer trimestre de 2023, que ascendieron a 200 millones de dólares y 126 millones de dólares, respectivamente.

Según Immunefi, las cifras reflejan un aumento de casi el 60% en comparación con el tercer trimestre de 2022, cuando los malos actores se llevaron alrededor de 428 millones de dólares.

Los atracos de Mixin y Multichain representaron más del 47% de todas las pérdidas en el tercer trimestre de 2023. En ese período, la piratería fue la principal causa de pérdidas, representando el 96,7% en comparación con las estafas, fraudes y tirones de alfombras, que constituyeron sólo el 3,3% de los fondos robados.

Además, los atacantes se dirigieron principalmente a ethereum (eth) y BNB Chain (BNB), donde ethereum sufrió 33 incidentes, mientras que BNB Chain enfrentó 25.

También hubo un aumento significativo en la cantidad de ataques web3: la cantidad de incidentes únicos aumentó un 147 % interanual, de 30 a 74 en el tercer trimestre de 2023.

En general, el período ha sido testigo de la mayor pérdida en 2023, la mayor parte derivada de ataques del Grupo Lazarus, que según los informes está detrás de ataques de alto perfil contra CoinEx, Alphapo, Stake y CoinsPaid.

En los ataques, el grupo vinculado a Corea del Norte robó 208.600.000 dólares, lo que representa el 30% de las pérdidas totales en el tercer trimestre de 2023.

Desde una perspectiva del año hasta la fecha, el ecosistema criptográfico reportó pérdidas de $1,410,669,002 en 292 incidentes. El tercer trimestre de 2023 fue particularmente severo, con pérdidas superiores a los 340 millones de dólares en septiembre y los 320 millones de dólares en julio.

Cómo protegerse en el espacio web3

Estas son las medidas que los usuarios de Web3 pueden tomar para protegerse a sí mismos y a sus activos de los malos actores:

• Manténgase alerta contra la suplantación de identidad. Estos intentos son una triste realidad en el mundo web3 y pasarlos por alto puede tener graves consecuencias.
• Mantenga un registro del saldo de su cuenta. Puede parecer trivial, pero es una forma fundamental de mitigar las amenazas a la seguridad en el mundo web3. Como práctica recomendada, después de usar la firma de su billetera en cualquier plataforma nueva, verifique el saldo de su cuenta, particularmente los tokens de alto valor como bitcoin (btc), ethereum o monedas estables como Tether (USDT), que son propensos a intentos de piratería comunes.
• Si detecta transacciones dudosas o acceso no autorizado, debe informarlo de inmediato a su institución defi o al proveedor de la plataforma dapp.
• Tenga cuidado al descargar o instalar nuevas dapps. Cíñete a fuentes confiables al descargar e instalar aplicaciones y mantente alejado del software de sitios web desconocidos o no confiables.
• Tenga cuidado con los sitios con mala reputación, ya que pueden distribuir software dañino que podría poner en peligro la seguridad de su dispositivo.
• Dado que los CEX suelen ser el objetivo de los piratas informáticos, los expertos recomiendan que los usuarios guarden sus fondos en carteras donde tengan control total sobre sus claves privadas. Para proteger mejor sus claves privadas, los usuarios de web3 pueden utilizar carteras de hardware o soluciones de almacenamiento en frío, que almacenan claves fuera de línea, a salvo de posibles registradores de pulsaciones de teclas.

Garantizar la seguridad web3 no es una tarea única, sino un proceso continuo que implica la identificación proactiva de riesgos, la elección estratégica del diseño de blockchain, auditorías periódicas y aprendizaje constante.

Síguenos en Google Noticias