Revisión de los diez principales eventos de seguridad en la historia de los puentes cross-chain

Los puentes cross-chain, como infraestructura fundamental que conecta diferentes blockchains, han recibido una gran atención por su seguridad. Este artículo revisará diez importantes incidentes de seguridad de puentes cross-chain que han ocurrido en el pasado, con un monto total involucrado de más de 1,9 mil millones de dólares, de los cuales aproximadamente 1,55 mil millones de dólares ya han sido compensados o recuperados. Estos incidentes destacan los desafíos de seguridad que enfrentan los puentes cross-chain y proporcionan valiosas lecciones aprendidas para la industria.

ChainSwap: dos ataques causaron pérdidas de aproximadamente 8.8 millones de dólares

En julio de 2021, ChainSwap sufrió dos ataques de hackers en solo 9 días. La primera pérdida fue de aproximadamente 800,000 dólares, y la segunda pérdida fue de aproximadamente 8,000,000 dólares, afectando a más de 20 proyectos que utilizaban ChainSwap para puentes cross-chain.

La investigación muestra que el ataque se llevó a cabo porque el protocolo no logró verificar estrictamente la validez de las firmas, lo que permitió a los atacantes utilizar firmas autogeneradas. Dado que las pérdidas implicaron principalmente tokens de gobernanza, varios proyectos afectados optaron por realizar un snapshot y reemitir tokens para compensar a los titulares y proveedores de liquidez.

Poly Network: 610 millones de dólares recuperados tras el robo

El 10 de agosto de 2021, Poly Network sufrió el ataque más grande en la historia de los puentes cross-chain, con una pérdida total de aproximadamente 610 millones de dólares en activos en las redes de Ethereum, Binance Smart Chain y Polygon.

Los atacantes aprovecharon una vulnerabilidad en la lógica de gestión de permisos del contrato de Poly Network para reemplazar con éxito la dirección del validador de la cadena objetivo, controlando así la transferencia de activos. A pesar de la sofisticación del método de ataque, el hacker finalmente decidió devolver todos los fondos. Poly Network luego invitó a este hacker "white hat" a ocupar el cargo de asesor de seguridad principal.

Multichain: 6 millones de dólares en pérdidas por vulnerabilidad, parte ya ha sido compensada

En enero de 2022, Multichain descubrió una importante vulnerabilidad que afecta a varios tokens. A pesar de emitir una advertencia a tiempo, se robaron cerca de 6 millones de dólares en activos. La razón se debe a la falta de verificación adecuada de la legitimidad del Token ingresado por los usuarios.

El equipo recuperó casi el 50% de los fondos robados y propuso devolverlos a los usuarios que habían revocado la autorización del contrato. Sin embargo, para los usuarios que no hayan tomado medidas después del anuncio, las pérdidas no serán compensadas.

QBridge: pérdida de 80 millones de dólares, solo indemnización del 2%

A finales de enero de 2022, el puente cross-chain QBridge del protocolo de préstamos Qubit fue atacado, con pérdidas de aproximadamente 80 millones de dólares. El atacante aprovechó una vulnerabilidad lógica en el manejo de transferencias de tokens en la lista blanca por parte de QBridge.

Hasta ahora, el uso de Qubit ha disminuido drásticamente, y el 98% de los fondos robados aún no han sido reembolsados.

Meter.io: pérdida de 4.4 millones de dólares, se compromete a compensar con ganancias futuras

En febrero de 2022, el puente cross-chain Meter Passport fue aprovechado por atacantes debido a un "supuesto de confianza erróneo" en el código, lo que resultó en una pérdida de 4.4 millones de dólares.

El equipo de Meter inicialmente planeó compensar con el token MTRG, pero luego cambió a emitir un nuevo token PASS y prometió recomprar con los futuros ingresos. Sin embargo, hasta ahora no se ha realizado ninguna operación de recompra.

Ronin: 620 millones de dólares robados, ya se ha compensado en su totalidad

En marzo de 2022, la cadena Ronin de Axie Infinity sufrió un robo de fondos significativo de 620 millones de dólares. Los atacantes obtuvieron acceso al sistema mediante técnicas de ingeniería social.

A pesar de que los fondos robados no pudieron recuperarse, los desarrolladores Sky Mavis recaudaron 150 millones de dólares a través de una nueva ronda de financiación para compensar las pérdidas de los usuarios. Es notable que, debido a la fuerte caída del precio de ETH durante el período desde el ataque hasta el pago, el valor real de la compensación se redujo.

Wormhole: 326 millones de dólares en pérdidas, ya se ha compensado por completo

En febrero de 2022, Wormhole fue atacado debido a un error de verificación de firma en el contrato de Solana, con pérdidas de aproximadamente 326 millones de dólares.

Afortunadamente, Jump Crypto inyectó rápidamente 120,000 ETH en Wormhole para compensar todas las pérdidas, lo que permitió que la plataforma reanudara sus operaciones.

EvoDeFi: pérdidas estimadas en decenas de millones de dólares, sin ser tratadas

En junio de 2022, el DEX ValleySwap en el ecosistema de Oasis experimentó una grave desvinculación del USDT, lo que provocó pérdidas estimadas en decenas de millones de dólares. El problema se originó en el puente cross-chain EVODeFi utilizado, que carecía de suficiente liquidez en la cadena de origen.

Lamentablemente, los usuarios han perdido y hasta ahora no se ha encontrado ninguna solución. Las partes involucradas rápidamente se desmarcaron, y el equipo del proyecto en realidad ya ha huido.

Horizon: Pérdida de casi 100 millones de dólares, el plan de compensación aún se está elaborando.

En junio de 2022, el puente cross-chain oficial de Harmony, Horizon, fue atacado debido a la filtración de una clave privada, causando una pérdida de aproximadamente 100 millones de dólares.

Harmony propuso anteriormente compensar a los usuarios a través de la emisión adicional de tokens en un plazo de 3 años, pero no logró alcanzar un consenso con la comunidad. Actualmente, se está elaborando un nuevo plan de compensación.

Nomad: 190 millones de dólares robados, parte de los fondos podría recuperarse

En agosto de 2022, Nomad sufrió un robo de 190 millones de dólares debido a un error de inicialización durante una actualización del contrato. Este evento afectó a 1251 direcciones de ETH, de las cuales las direcciones ENS representaron el 38% del monto total.

Aunque aún no se ha presentado un plan de compensación claro, algunos hackers éticos ya han expresado su disposición a devolver los fondos, lo que trae esperanza para la recuperación de las pérdidas.

Conclusión

Estos eventos de seguridad destacan los enormes desafíos que enfrentan los puentes cross-chain. Incluso los puentes cross-chain con mayor liquidez han sufrido ataques, lo que indica que todavía existen altos riesgos en este campo. Sin embargo, los proyectos con una sólida trayectoria suelen manejar mejor las crisis, siendo capaces de recuperar fondos o realizar compensaciones de manera más efectiva.

Estos casos enfatizan la importancia de la monitorización en tiempo real y la respuesta rápida. Proyectos como Hop Protocol y StarGate han logrado detener ataques potenciales al gestionar de manera oportuna actividades sospechosas.

Para los usuarios, elegir proyectos de puentes cross-chain con solidez puede ser más seguro, pero aún deben mantener una alta vigilancia y estar atentos a la seguridad de los activos.