Lecciones del ataque a Tinyman, el DEX más grande de Algorand

Tiempo de lectura: 5 minutos

Los hackeos criptográficos continúan en 2022 a medida que los piratas informáticos atacan vulnerabilidades dentro de diferentes redes, lo que se suma a millones de activos robados. La comunidad de Algorand comenzó el año con una nota amarga luego de un ataque a su intercambio descentralizado que provocó la pérdida de activos por valor de aproximadamente $ 3 millones.

Según informes, sobre Enero 1, 2022, usuarios no autorizados atacados diminuto, una plataforma financiera descentralizada basada en Algorand. El evento se realizó en cuatro ataques separados, lo que permitió a los piratas informáticos robar alrededor de 3 millones de dólares de las piscinas dentro del protocolo.

Un informe de Tinyman mostró que cuatro cuentas se vieron comprometidas, lo que afectó a unos 250 usuarios con participaciones en goBTC y goETH. Cuarenta y tres pools se vieron afectados por 360 actividades maliciosas realizadas por 13 direcciones únicas.

En particular, los atacantes activaron sus direcciones de billetera, lo que les permitió depositar un fondo semilla para el ataque. Además, según los informes, estas personas violaron vulnerabilidades previamente desconocidas en el contrato inteligente de Tinyman. Esto les permitió obtener dos tokens iguales, que luego procedieron a intercambiar algunos de los activos y tokens de grupo acuñados.

Según los informes, los ataques favorecieron a los usuarios no autorizados porque el irBTC activo era más valioso que el ALGO ficha contra la que intercambiaron para recibir más fondos. Además, los atacantes también intercambiaron grupos con monedas estables antes de retirar los activos a otras billeteras e intercambios centralizados.

Como protocolo sin confianza y sin permisos, Tinyman utiliza en particular contratos inmutables, lo que hace imposible que el intercambio solucione las vulnerabilidades y detenga el ataque rápidamente. Sin embargo, como resultado, solo podían aconsejar a sus usuarios que no usaran la plataforma mientras trabajaban para solucionar el problema.

A medida que el equipo de Tinyman continúa investigando la incidencia, es necesario abordar algunas áreas clave. Éstos incluyen:

Importancia de las auditorías

Dado el aumento del número de casos de fraude y ataques relacionados con criptomonedas dentro de DeFi y el mercado de criptomonedas en general, la necesidad de sistemas de verificación y responsabilidad no se puede enfatizar lo suficiente. 

El año pasado en noviembre, Elíptica, una compañía global de riesgo de gestión de criptografía, realizó una investigación que muestra que durante 10.5 millones de dólares Se perdieron activos por valor de DeFi en 2021 debido a hacks y otros ataques a redes y protocolos. 

Además, los hacks relacionados con DeFi representaron 76% de todos los principales hacks en 2021. Según el informe, la naturaleza sin confianza de las aplicaciones descentralizadas (DApps) dentro de DeFi es tanto una bendición como una maldición. Ser confiable elimina cualquier control de terceros sobre los fondos de los usuarios. Sin embargo, los usuarios se ven obligados a confiar en que los creadores de los protocolos en cuestión no cometieron ningún error en la codificación o el diseño que pudiera permitir un ataque al sistema.

Las auditorías permiten a las entidades de confianza comprobar las vulnerabilidades de los códigos y el diseño estructural de un proyecto, lo que aumenta la seguridad general. Las auditorías deben llevarse a cabo constantemente para mantenerse al día con las técnicas nuevas y sofisticadas que utilizan los piratas informáticos para atacar los sistemas. Si bien, según los informes, Tinyman se había sometido a una auditoría, una verificación de auditoría reciente podría haber ayudado a corregir los errores o vulnerabilidades y posiblemente prevenir las pérdidas.

Debe leer: Los Cuatro Grandes Trabajando Hacia la Auditoría Blockchain

Idealmente, las auditorías de contratos inteligentes deben realizarse antes de implementar los contratos. Estas auditorías buscan verificar errores comunes, como problemas de pila, errores de reingreso y otras posibles complicaciones. El proceso de auditoría también verifica los errores conocidos y las fallas de seguridad de las plataformas anfitrionas, al tiempo que permite a los desarrolladores probar el contrato inteligente.

Además, las auditorías ayudan a los proyectos a mejorar constantemente sus contratos inteligentes, asegurando que estén siempre actualizados. Por ejemplo, después del ataque, Tinyman se vio obligado a actualizar sus contratos inteligentes para evitar este tipo de ataques en el futuro.

Seguro DeFi

En particular, antes de realizar cualquier arreglo dentro del mercado DeFi, los usuarios deben comprender completamente los riesgos asociados con el mercado. Además de los riesgos de contratos inteligentes, los usuarios también pueden enfrentar riesgos de Oracle y riesgos de gobernanza. 

Dicho esto, realizar una investigación adecuada sobre los mercados y los proyectos en ellos permite a los usuarios tomar decisiones informadas. Una de esas decisiones es obtener protección contra ataques imprevistos a través de DeFi Insurance.

El seguro DeFi es el proceso de asegurarse o comprar cobertura contra pérdidas que puedan sufrir los eventos en la industria DeFi. El creciente número de pérdidas dentro de DeFi ha creado una demanda de productos de seguros DeFi a medida que los nuevos proyectos siguen aumentando día a día. 

Por lo general, muchos intercambios afectados terminan reembolsando a sus víctimas después del ataque. Sin embargo, algunos de los proyectos pirateados no pueden reembolsar a sus usuarios.

Tenga en cuenta que el equipo de Tinyman se ha presentado para asegurar a los usuarios afectados que se les reembolsará por sus pérdidas.

Fortaleza en las comunidades

En particular, después de que el primer ataque se hizo público, muchos más piratas informáticos aprovecharon la oportunidad para copiar el truco. Usaron las mismas vulnerabilidades para ejecutar ataques más pequeños (del segundo al cuarto ataque) en el intercambio. Sin embargo, Tinyman logró salvar un gran porcentaje de sus activos con la ayuda de la comunidad.

En este y otros ataques similares, las comunidades ayudaron a difundir las noticias más rápido, lo que permitió a los usuarios tomar las medidas de seguridad necesarias para ayudar a mantener sus activos seguros. Además, las comunidades, hasta cierto punto, han ayudado a construir una mejor comunicación y colaboración entre desarrolladores y usuarios para el crecimiento de todo el ecosistema.

En los últimos días, las comunidades basadas en criptomonedas han ayudado a generar revoluciones que han llevado al crecimiento de proyectos dentro de la industria.

Terminando

Si bien blockchain ha logrado grandes avances, especialmente dentro de las finanzas, la tecnología está lejos de ser perfecta. Sin embargo, los propietarios de proyectos, desarrolladores y usuarios pueden tomar las medidas adecuadas para garantizar una mayor seguridad dentro de las aplicaciones basadas en blockchain.

Al tomar medidas de rendición de cuentas a través de auditorías y otras medidas relevantes, los proyectos pueden eliminar cualquier error o vulnerabilidad que pueda usarse contra la aplicación. Además, es importante tomar otras precauciones, como el seguro DeFi y mantener una comunidad unida, para mitigar tales eventos. 

Comuníquese con QuillAudits

QuillAudits es una plataforma segura de auditorías de contratos inteligentes diseñada por QuillHash
Tecnologías.
Es una plataforma de auditoría que analiza y verifica rigurosamente los contratos inteligentes para verificar las vulnerabilidades de seguridad a través de una revisión manual efectiva con herramientas de análisis estático y dinámico, analizadores de gas y asimiladores. Además, el proceso de auditoría también incluye pruebas unitarias extensas, así como análisis estructural.
Realizamos auditorías de contratos inteligentes y pruebas de penetración para encontrar potencial
vulnerabilidades de seguridad que podrían dañar la integridad de la plataforma.

Si necesita ayuda en la auditoría de contratos inteligentes, no dude en comunicarse con nuestros expertos aquí!

Para estar al día con nuestro trabajo, únase a nuestra comunidad: -

Twitter | Etiqueta LinkedIn | Facebook | Telegram

El puesto Lecciones del ataque a Tinyman, el DEX más grande de Algorand apareció por primera vez en Blog.quillhash.

Fuente: https://blog.quillhash.com/2022/01/lessons-from-the-attack-on-tinyman-largest-dex-on-algorand