Squads Alerta de emergencia: se falsificaron cuentas multisig con envenenamiento de direcciones; se lanzará el mecanismo de lista blanca

La comunidad de Solana Squads, en el marco de un acuerdo multisig, emitió el 14 de abril una advertencia en la plataforma X: se detectó que un atacante está llevando a cabo un ataque de envenenamiento de direcciones contra los usuarios de Squads. Esto se realiza mediante la creación de cuentas falsas cuyas letras inicial y final de la dirección coinciden con las de direcciones multisig reales y falsificadas, con el fin de inducir a los usuarios a enviar transferencias a direcciones maliciosas o a firmar transacciones no autorizadas. Squads confirmó que no hay evidencia de que los fondos de los usuarios se hayan visto afectados y afirmó que se trata de un ataque de ingeniería social a nivel de interfaz, en lugar de una vulnerabilidad de seguridad a nivel de protocolo.

Análisis del mecanismo de ataque: cómo una estructura de engaño doble crea cuentas falsas

El atacante aprovecha los datos públicos de clave pública de la blockchain para diseñar una arquitectura de doble engaño.

Primera capa: unir automáticamente a usuarios objetivo en cuentas multisig falsificadas El atacante lee desde la cadena la clave pública de los usuarios existentes de Squads y, de forma programática, crea nuevas cuentas multisig con el usuario objetivo como miembro. De este modo, la cuenta falsificada parece en la interfaz como una organización en la que el usuario objetivo «participa legítimamente», reduciendo la vigilancia del usuario objetivo.

Segunda capa: generar direcciones de “vanidad” que colisionan con el inicio y el final El atacante, mediante cálculos de colisión de direcciones, genera una clave pública que coincide exactamente, en los caracteres inicial y final, con la dirección multisig real del usuario. Al combinarse con el hábito de la mayoría de usuarios de verificar solo el inicio y el final de las direcciones, la cuenta falsificada tiene una tasa de éxito relativamente alta de engaño visual.

Squads indica con claridad que, mediante las técnicas anteriores, el atacante no puede acceder ni controlar directamente los fondos de los usuarios. Todos los riesgos de pérdida provienen de acciones que el usuario realiza por sí mismo después de ser engañado, y no de una intrusión del protocolo a nivel técnico.

Medidas de respuesta por fases de Squads

Banda de advertencia inmediata: dentro de las dos horas posteriores al descubrimiento del ataque, habilitar en la interfaz una banda de advertencia sobre el ataque dirigida a cuentas sospechosas

Alerta de cuentas no interactivas: agregar avisos exclusivos para cuentas multisig que nunca hayan tenido ningún registro de interacción con el usuario, reduciendo el riesgo de operaciones erróneas

Implementación del mecanismo de lista blanca: en los próximos días, lanzar un mecanismo de lista blanca que permita a los usuarios marcar explícitamente las cuentas multisig conocidas y confiables; el sistema aplicará automáticamente filtros a las cuentas desconocidas

Recomendación de protección del usuario en tiempo real: ignorar todas las cuentas multisig que no hayan sido creadas por la persona correspondiente ni hayan sido agregadas explícitamente por miembros de confianza; al verificar una dirección, realizar una comparación completa carácter por carácter, sin depender nunca de la coincidencia visual solo del inicio y el final.

Antecedentes más amplios: las amenazas de ingeniería social en el ecosistema de Solana siguen intensificándose

El ataque de envenenamiento de direcciones de Squads forma parte de la escalada reciente de amenazas de seguridad por ingeniería social en el ecosistema de Solana. Anteriormente ocurrió el robo de 285 millones de dólares del protocolo Drift; las instituciones que investigaron determinaron que se originó principalmente en la ingeniería social, no en fallas del código de los contratos inteligentes. El atacante se hizo pasar durante meses por una empresa de transacciones legítima, fue ganando confianza gradualmente y logró acceder a permisos de sistemas.

La Fundación Solana y Asymmetric Research han puesto en marcha el plan de seguridad STRIDE para monitorear de forma continua y sustituir las auditorías tradicionales puntuales mediante verificación formal, además de establecer una red de respuesta a incidentes en Solana (SIRN) para coordinar la respuesta inmediata a crisis en toda la red. Tras el incidente de Drift, las operaciones multisig y los acuerdos de alto valor dentro del ecosistema enfrentan un escrutinio de seguridad más estricto; el modelo de respuesta rápida de Squads sirve como plantilla de referencia para la gestión de crisis en otros protocolos del ecosistema.

Preguntas frecuentes

¿Qué es un ataque de envenenamiento de direcciones? ¿Qué particularidad tiene el caso de Squads?

Un ataque de envenenamiento de direcciones normalmente se refiere a que el atacante crea direcciones falsas con una similitud muy alta respecto a la dirección objetivo, induciendo a los usuarios a operar por error. La particularidad del caso de Squads es que el atacante no solo colisiona direcciones de “vanidad” con coincidencia del inicio y el final, sino que también agrega automáticamente al usuario objetivo a una cuenta multisig falsificada, haciendo que la cuenta falsa parezca una organización legítima en la que el usuario «ya participó», volviendo el nivel de engaño aún más complejo.

¿El propio protocolo multisig de Squads tiene alguna vulnerabilidad de seguridad?

Squads niega con claridad la existencia de una vulnerabilidad en el protocolo. El atacante no puede, mediante el método de envenenamiento de direcciones, acceder a los fondos de las cuentas multisig de usuarios existentes, ni tampoco puede modificar la configuración de miembros de las multisig ya existentes. Este ataque es una ingeniería social a nivel de interfaz, que se basa en engañar a los usuarios para que realicen operaciones por error de forma activa, en lugar de una intrusión técnica.

¿Cómo pueden los usuarios identificar y prevenir este tipo de ataque de envenenamiento de direcciones?

Hay tres principios clave de protección: primero, ignorar todas las cuentas multisig que no hayan sido creadas por la propia persona o que no hayan sido agregadas explícitamente por miembros de confianza; segundo, al verificar una dirección, realizar una comparación completa carácter por carácter, sin depender únicamente de la coincidencia visual del inicio y el final; tercero, después de que se implemente el mecanismo de lista blanca de Squads, marcar de forma proactiva las cuentas confiables mediante la lista blanca para mejorar la fiabilidad del reconocimiento de cuentas.