Cómo los auditores detectan una estafa de extracción de alfombras DeFi: ¿puede hacerlo usted mismo?

Los piratas informáticos robaron más criptomonedas de las plataformas de finanzas descentralizadas (DeFi) que nunca antes en 2022. Casi el 98% de todos los tokens lanzados en el líder de DeFi, DEX Uniswap, se identificaron como tiradas de alfombra.

El último, Defrost Finance, llegó como una pesadilla navideña para los criptoinversionistas, acabando con $12 millones de su dinero. 

La mayoría de los ataques a las plataformas DeFi ocurren a través de brechas de seguridad y vulnerabilidades de código. Los proyectos que terminan siendo estafas tienen serios problemas de seguridad que se han dejado pasar, o tal vez, sin ser detectados a propósito. Para evitar riesgos similares, las auditorías de seguridad de DeFi son fundamentales.

Aquí descubriremos más sobre estas auditorías, cómo se llevan a cabo y si es posible realizar una auditoría DeFi usted mismo. 

Los proyectos DeFi se implementan como contratos inteligentes complejos y autoejecutables, a menudo transparentes y de código abierto. Actúan como acuerdos legales entre dos partes. Y dado que no hay ninguna entidad centralizada detrás de ellos, incluso un pequeño error en los contratos inteligentes podría tener consecuencias irreversibles.

Esto significa que no debería haber lugar para errores en los contratos inteligentes. Las auditorías de seguridad de contratos inteligentes de DeFi están destinadas a garantizar eso.

Las auditorías de seguridad examinan el código de los contratos inteligentes y cómo fundamenta los términos y condiciones de los contratos. El análisis detallado busca posibles fallas de seguridad, violaciones y errores del sistema en el código, por lo que no puede explotarse. 

Las auditorías de seguridad, generalmente realizadas por terceros, son vitales para garantizar la seguridad y credibilidad de los proyectos y mantener un ecosistema DeFi saludable.

Un rug pull es un tipo de estafa de salida que opera en un modelo simple: los desarrolladores crean un protocolo DeFi que parece legítimo, lo ejecutan y lo promueven hasta que el proyecto atrae suficiente liquidez, luego retiran los fondos y desaparecen. 

Bueno, no siempre. En ocasiones, los estafadores culpan a los piratas informáticos por robar liquidez y permanecen en el negocio hasta la próxima vez.

Para implementar un ataque, los estafadores incorporan código malicioso en los contratos inteligentes. Los modifican para evitar que los inversores vendan: establecen la tarifa de venta máxima (100 %), ponen en lista negra a los propietarios de fichas y bloquean el dinero de los usuarios en un contrato.

Algunos contratos inteligentes implican codificar una "puerta trasera" maliciosa en ellos, lo que permite a los desarrolladores retirar la liquidez.  

La mayoría de las veces, los contratos inteligentes modificados no son verificados por los auditores de seguridad y están ocultos a la vista del público. Dado que la mayoría de los contratos en cadena están disponibles públicamente, la falta de transparencia en GitHub podría ser una bandera roja. 

La industria de la cadena de bloques y los contratos inteligentes aún es relativamente joven, al igual que el sector de auditoría de contratos inteligentes. Numerosas empresas se especializan en auditorías de seguridad de contratos inteligentes, desarrollan sus herramientas y dan forma a sus conocimientos. 

Los estándares y mejores prácticas de la industria de seguridad de contratos inteligentes están evolucionando. A pesar de eso, los actores de la industria de auditoría DeFi utilizan algunos métodos de auditoría bastante estándar.

Por lo general, sus investigaciones comienzan con la evaluación del contrato inteligente. El auditor analiza el documento técnico, la lógica comercial y las especificaciones técnicas del protocolo DeFi para estimar los riesgos potenciales y las características de seguridad.

Luego, centran su atención en el código del contrato inteligente. Aquí es cuando comienza la revisión y el análisis del código. 

Los auditores inspeccionan el código línea por línea, buscando vulnerabilidades de diferentes niveles: críticas que pueden resultar en una fuga de liquidez; nivel medio, que podría dañar parcialmente el contrato inteligente; y cuestiones de bajo nivel, que son las que menos afectan a la seguridad del contrato.

Implementan una serie de técnicas de auditoría, incluido el análisis automático y manual. Ambos tienen pros y contras.

Una auditoría de seguridad automatizada significa escanear el código con un software de análisis automatizado, que busca errores en la base de datos de vulnerabilidades conocidas e identifica su ubicación precisa en el código.

La auditoría basada en software generalmente se realiza antes del análisis manual para detectar errores que los humanos podrían pasar por alto. Es más rápido y requiere menos tiempo, pero al mismo tiempo, es posible que no siempre sea consciente del contexto y, por lo tanto, pase por alto ciertas vulnerabilidades. 

El análisis de código manual es el rey en la auditoría de contratos inteligentes y es la parte más crítica de una auditoría de seguridad de código inteligente integral y precisa. Lo llevan a cabo al menos dos expertos distintos que inspeccionan el código línea por línea.

El objetivo es verificar que cada detalle en la especificación del proyecto se implemente en el contrato inteligente y que nada viole el comportamiento originalmente previsto. 

Los auditores examinan el código en busca de comportamientos no deseados e inesperados, problemas de seguridad cruciales y vulnerabilidades como reingreso, manipulaciones de datos, préstamos rápidos y otras manipulaciones que podrían implementarse mientras el contrato inteligente interactúa con otros.

Además de eso, las auditorías manuales ejecutan simulaciones para evaluar qué tan bien responde el contrato inteligente del proyecto DeFi a amenazas no identificadas y qué tan capaz es de defenderse contra ellas. 

Dentro de la parte final del análisis de código manual, el auditor compara la lógica del contrato inteligente con su descripción en el documento técnico del proyecto. 

Una vez que se han identificado y corregido todas las vulnerabilidades, los auditores ejecutan un proceso de verificación doble para garantizar que el código inteligente funcione como se esperaba.

Finalmente, una vez finalizada la auditoría de seguridad, los auditores preparan un informe completo. Aquí es donde proporcionan comentarios detallados sobre lo que descubrieron. Por lo general, su informe viene con recomendaciones sobre cómo se pueden corregir las debilidades del código detectadas para mitigar la seguridad del proyecto. 

Los contratos inteligentes son una innovación relativamente nueva. Sus estándares de seguridad están evolucionando en consecuencia. Esto significa que ninguna regla de oro garantiza la seguridad total de los contratos inteligentes.

Además, no todas las empresas de auditoría de contratos inteligentes son iguales, y no todas las auditorías garantizan la seguridad. Los auditores pueden tener diferentes niveles de habilidad, diferentes objetivos y diferentes costos.

Sin mencionar el hecho de que el mercado está lleno de desarrolladores dudosos que falsifican auditorías y aún así se benefician del nombre de una empresa respetable. Esto es lo que le sucedió a Peckshield, una empresa de análisis de datos y seguridad blockchain, hace más de un año.

Situaciones como esta son bastante comunes en el espacio de las criptomonedas. Toman el nombre de un auditor legítimo y respetable y lo ponen en su documento técnico, diciendo que su protocolo fue auditado.

La única forma de evitar casos como este es comprobar la confirmación en los canales originales del auditor. Si no hay ninguno, es probable que hayan robado el nombre del auditor. 

Siempre revise su cartera de clientes para evaluar si el auditor es sólido y tiene buena reputación. Busque en Google los casos para verificar sus registros de experiencia y verifique si alguno de los proyectos auditados ha sufrido un tirón u otros ataques.

Con tantos hacks y obstáculos en el espacio criptográfico, es ingenuo imaginar que los proyectos DeFi son seguros sin analizarlos con más detalle. Las auditorías de contratos inteligentes proporcionan una capa crítica de seguridad. 

Sin embargo, incluso los más profesionales no garantizan que un proyecto DeFi esté absolutamente libre de errores. Los contratos inteligentes son complejos. Requieren un análisis detallado y completo, experiencia, herramientas y, lo más importante, más de un par de ojos.