David Schwartz, CTO Emeritus en Ripple, identificó un patrón en vulnerabilidades de seguridad en puentes después de que el puente rsETH de Kelp DAO fuera explotado por aproximadamente $292 millones. Durante su evaluación de sistemas de puente DeFi para el uso de RLUSD, Schwartz observó que los proveedores de puentes reiteradamente restaron prioridad a sus mecanismos de seguridad más sólidos en favor de la conveniencia; un patrón que él cree que pudo haber contribuido al incidente de Kelp DAO.
El discurso de venta de las funciones de seguridad
En su análisis compartido en X, Schwartz describió cómo los proveedores de puentes presentaron en primer plano funciones de seguridad avanzadas y, acto seguido, sugirieron que esas funciones eran opcionales. “En general, recomendaron efectivamente no molestarse en usar los mecanismos de seguridad más importantes porque tienen costos de conveniencia y de complejidad operativa”, escribió.
Schwartz señaló que durante las conversaciones de evaluación de RLUSD, los proveedores enfatizaron la sencillez y la facilidad para agregar múltiples cadenas “con la suposición implícita de que no nos molestaríamos en usar las mejores funciones de seguridad que tenían”. Resumió la contradicción: “Su discurso de venta fue que tienen las mejores funciones de seguridad pero son fáciles de usar y escalar, asumiendo que no usas las funciones de seguridad”.
Qué pasó con Kelp DAO
El 19 de abril, Kelp DAO identificó actividad sospechosa entre cadenas relacionada con rsETH y pausó contratos en el mainnet y en múltiples redes de Capa 2. Aproximadamente 116,500 rsETH se drenaron mediante llamadas de contratos relacionadas con LayerZero, con un valor de alrededor de $292 millones a precios actuales.
El análisis on-chain de D2 Finance rastreó la causa raíz hasta una filtración de clave privada en la cadena de origen, que creó un problema de confianza con los nodos de OApp que el atacante explotó para manipular el puente.
Configuración de seguridad de LayerZero
LayerZero en sí ofrece mecanismos de seguridad sólidos, incluidas redes de verificación descentralizadas. Schwartz planteó la hipótesis de que parte del problema puede derivarse de que Kelp DAO eligió no usar funciones clave de seguridad de LayerZero “por conveniencia”.
Los investigadores están examinando si Kelp DAO configuró su implementación de LayerZero usando una configuración de seguridad mínima: específicamente, un único punto de fallo con LayerZero Labs como el único verificador, en lugar de utilizar las opciones más complejas pero significativamente más seguras disponibles a través del protocolo.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
Investigador de seguridad divulga vulnerabilidad 0-day de CometBFT; el robo directo de activos no es posible
Mensaje de Gate News, 21 de abril — La investigadora de seguridad Doyeon Park divulgó una vulnerabilidad crítica 0-day (CVSS 7.1) en CometBFT, la capa de consenso de Cosmos, según una publicación en X. El fallo podría hacer que los nodos de la red se queden detenidos durante la sincronización de bloques, interrumpiendo las operaciones del sistema, pero no puede provocar directamente el robo de activos.
GateNewshace1h
Suplantadores de policías obligan a una pareja francesa a transferir casi $1M en Bitcoin
Criminales que se hacían pasar por policías en Francia obligaron a una pareja a transferir cerca de $1M en Bitcoin, usando el miedo y la autoridad en un "ataque con llave inglesa" que explota a las personas, no a las carteras.
Resumen: Los atacantes usaron suplantación y coacción psicológica para forzar una transferencia de Bitcoin, ilustrando un ataque con llave inglesa que se dirige a la vulnerabilidad humana en lugar de a las fallas técnicas de las carteras.
GateNewshace2h
Frustrado un intento de robo armado a un profesional cripto en Francia; el sospechoso fue arrestado
Mensaje de Gate News, 21 de abril — Un profesional de la industria cripto de 40 años en Saint-Jean-de-Védas, cerca de Montpellier, Francia, frustró un intento de robo a mano armada en su hogar. El sospechoso, disfrazado como repartidor, entró en la residencia y exigió que la víctima entregara las claves privadas de la billetera de criptomonedas
GateNewshace2h
KelpDAO $290M Explotación atribuida al Grupo Lazarus de Corea del Norte
LayerZero atribuyó un exploit de $290 millones en la configuración rsETH entre cadenas de KelpDAO al Grupo Lazarus de Corea del Norte el 18 de abril, describiendo al atacante como un «actor estatal altamente sofisticado». Según LayerZero, el incidente se limitó a la configuración rsETH de KelpDAO y no se extendió a otros
CryptoFrontierhace3h
Estafadores que se hacen pasar por autoridades iraníes exigen pagos en Bitcoin y USDT a buques en el Estrecho de Ormuz
Mensaje de Gate News, 21 de abril — Estafadores que se hacen pasar por autoridades iraníes han atacado a compañías navieras con buques varados al oeste del Estrecho de Ormuz, exigiendo pagos en Bitcoin y Tether (USDT) a cambio de un paso seguro, según la firma de riesgo marítimo Marisks.
Los estafadores
GateNewshace3h
