Jay Freeman simplemente estaba echando un vistazo cuando se topó con la mayor ganancia de su vida.
Freeman es un investigador en materia de seguridad conocido por desarrollar software para sistemas operativos de teléfonos móviles a los que se les ha realizado un «jailbreak» (modificados para permitir a los usuarios personalizar su sistema operativo). Un día, se encontró analizando cómo funcionan los «contratos inteligentes» para facilitar las transacciones en Optimism, una cadena de bloques de Ethereum utilizada por la empresa de software de código abierto que él mismo cofundó, Orchid Labs. Para sorpresa de Freeman, descubrió lo que parecía ser un error crítico de software en una máquina virtual que podría permitir a un pirata informático generar —y sustraer— millones o incluso miles de millones de dólares en moneda digital.
Tras crear una «prueba de concepto» para comprobar su trabajo y detallar el daño potencial que podría causar a una empresa, se convenció de que había dado con algo importante. Al principio pensó que sería un tema estupendo para un discurso que tenía previsto pronunciar en una conferencia sobre seguridad. Entonces se enteró de que Optimism había ofrecido recientemente una enorme recompensa para cualquiera que encontrara vulnerabilidades graves en su código. Freeman presentó sus conclusiones. Optimism confirmó la existencia de la vulnerabilidad y, poco después, Freeman recibió 2 millones de dólares.
«No era esto lo que buscaba», afirma. «Fue como ir caminando por la calle, tropezar con un bache, pensar que ese bache no debería estar ahí, preguntarme a quién debía informar de ello y, a continuación, descubrir que hay una recompensa de varios millones de dólares por cualquier información sobre ese bache». Entonces digo algo así como: «¡Yuju!»»
Los programas de recompensa por errores se multiplican en Web 3.0
Los programas de recompensa por errores llevan ya bastante tiempo en el mundo de Web 2.0 . Sin embargo, la mayoría de los pagos individuales se limitaban a cinco o seis cifras. En la actualidad, con (en el momento de la publicación) un valor estimado de 920.6 000 millones de dólares en criptomonedas circulando por el ámbito de la Web 3.0 impulsado por la cadena de bloques , los proveedores están pagando más.
Mucho más. De hecho, el mercado total de recompensas por errores —valorado en 223.1 millones de dólares en 2020—is — se prevé que crezca un 54 % anual y alcance 5.5 000 millones de dólares en 2027, según All the Research (ATR), una empresa de estudios de mercado.
El investigador de seguridad y hacker de sombrero blanco Gerhard Wagner ganó una recompensa por la detección de fallos de 2 millones de dólares ofrecida por , que, según se informa, fue una de las mayores recompensas pagadas el año pasado. Tras observar que el valor de los pagos relacionados con las criptomonedas se estaba «disparando», se lanzó a la búsqueda de recompensas y descubrió una vulnerabilidad crítica en el Plasma Bridge de Polygon el pasado mes de octubre. El fallo en el puente entre cadenas —la conexión que se utiliza para facilitar las transacciones entre cadenas de bloques— podría haber permitido a un atacante retirar hasta 224 millones de dólares en criptomonedas. De haberse llevado a cabo de forma repetida, habría sido posible vaciar la totalidad de los activos de Polygon, estimados en 850 millones de dólares.
«Me sorprendió», admite. «Realicé una prueba de concepto para comprobar si el ataque que estaba probando funcionaba realmente y, aun cuando funcionó, no dejaba de decir: “Eso no puede ser cierto”». No obstante, envié el informe de error a Polygon para ver qué pasaba. «Nos respondieron, confirmaron el problema y, a partir de ahí, todo se resolvió rápidamente».
[Lea también: Por qué los puentes entre blockchains están en el punto de mira]
En la actualidad, las empresas del sector del blockchain están dispuestas a pagar más por las recompensas que lo que solían hacer las empresas de software en el pasado, ya que tienen mucho más que perder en caso de sufrir un ataque. Podrían perder no solo su propio dinero, sino también la criptomoneda que los clientes han depositado en sus monederos digitales. De hecho, se perdieron casi 2 000 millones de dólares durante la primera parte de 2022 a causa de ataques informáticos a criptoactivos. Entre los principales ataques informáticos que se remontan a finales de 2021 se incluyen: Poly Network (611 millones de dólares), Ronin Network (625 millones de dólares), Wormhole (325 millones de dólares), Nomad (200 millones de dólares) y Harmony (100 millones de dólares).
Explicación de las recompensas
Las empresas de Web 3.0 preocupadas por este nuevo tipo de amenazas suelen ofrecer recompensas de diversas formas. Sus técnicas podrían resultar útiles para los responsables de seguridad de las empresas que se adentran en el «Salvaje Oeste» de las tecnologías emergentes.
«. No paraba de decir: “Eso no puede ser cierto”». No obstante, envié el informe de error a Polygon para ver qué pasaba… y a partir de ahí todo fue muy rápido.”Gerhard Wagner, investigador en seguridad y hacker de «sombrero blanco»
En primer lugar, tras constatar que carecen de los recursos necesarios para realizar el trabajo por sí mismas, las empresas deciden recurrir a los denominados «hackers de sombrero blanco», que colaboran con ellas, para que detecten vulnerabilidades en su código. Calculan cuánto dinero podrían perder y, como regla general, suelen fijar el valor de las recompensas en torno al 10 % de la pérdida potencial.
A continuación, la mayoría de las empresas realizarán una oferta en plataformas de recompensas por errores, como Immunefi, HackerOne e Intigriti. Si los investigadores consideran que han descubierto algo, envían una prueba de concepto directamente a una empresa o a una plataforma de recompensas. Se evalúa su trabajo y se les recompensa si este resulta satisfactorio.
En teoría, el sistema funciona bien. Sin embargo, no todos los sombreros blancos están a la venta. Freeman afirma que algunos investigadores se muestran reacios a aceptar un modelo de crowdsourcing en el que dedican días o semanas a revisar código sin recibir ninguna remuneración. A otras personas les preocupa que las empresas inventen excusas dudosas para denegar las recompensas, incluso cuando estas se hayan ganado claramente.
Sin embargo, parece que esas preocupaciones están disminuyendo, ya que los pagos siguen aumentando. Según datos anecdóticos, afirman los expertos, hay unos 2,000 cazadores de fallos que trabajan a tiempo completo. Sin embargo, Intigriti informa de que 50,000 investigadores se han registrado en sus servicios a través de April 2021 y April 2022, lo que supone un aumento del 43 %; además, una encuesta reciente de Intigriti ha revelado que el 66 % de los hackers éticos encuestados se están planteando dedicarse a tiempo completo a la búsqueda de fallos de seguridad.
¿Está surgiendo una industria artesanal?
Las propias plataformas de recompensas por errores también se están beneficiando de esta tendencia. Recientemente, los inversores han inyectado 24 millones de dólares en Immunefi, 22 millones de dólares en Intigriti y 49 millones de dólares en HackerOne.
Dane Sherrets, arquitecto de soluciones de HackerOne, prevé que el impulso de los programas de recompensa por errores y los pagos correspondientes seguirán aumentando en un futuro próximo, ya que las empresas de blockchain no pueden contratar a profesionales de seguridad cualificados con la rapidez necesaria y las aplicaciones basadas en blockchain que interactúan con plataformas de criptomonedas siguen siendo objetivos tentadores para los «black hat» (delincuentes).
«No creo que vaya a suceder de la noche a la mañana, pero sí que veo claramente que cada vez hay más gente que se implica», afirma. «El carácter de código abierto de estos proyectos hace necesario disponer de un medio para recibir informes sobre vulnerabilidades por parte de la comunidad».
Entre los participantes podría encontrarse un sector inesperado de la comunidad de investigación en seguridad: los «black hats» que ven la oportunidad de ganar más dinero pasando al bando de los «buenos» o, al menos, al «bando gris».
En algunos ataques recientes relacionados con la cadena de bloques, los piratas informáticos devolvieron a las empresas de la cadena de bloques la mayor parte de lo que habían sustraído. Los observadores especulan con que, en algunos casos, se quedaron con una parte de lo obtenido —con la aparente aprobación de las empresas afectadas— en lo que podría considerarse un pago inverso de recompensas. Wagner afirma que conoce «bastantes casos» de este tipo.
Por su parte, Sherrets afirma que, aunque no cree que los piratas informáticos roben criptomonedas con la intención de recibir una recompensa inversa, «simplemente parece ser la forma en que las cosas se desarrollan de manera natural, sobre todo cuando se descubre información identificativa sobre los piratas informáticos o cuando estos se encuentran con problemas a la hora de mover las criptomonedas robadas».
Aunque los «black hats» podrían revender o blanquear criptomonedas robadas en sitios web de mezcla de criptomonedas como , Tornado Cash , , Blender.io —que el Departamento del Tesoro de EE. UU. ha sancionado recientemente—, resulta difícil hacerlo, ya que las transacciones en la cadena de bloques quedan registradas y son visibles para cualquiera, incluidas las fuerzas del orden.
«Es un fastidio convertir las criptomonedas en dinero real», afirma Sherrets.
Posturas públicas
Las empresas son conscientes de ello y, a menudo, se dirigen abiertamente a los ciberdelincuentes para pedirles que devuelvan el dinero, utilizando un lenguaje conciliador, ofreciéndoles no presentar denuncias y dando a entender que podrían recibir algún tipo de recompensa por su buena conducta. Cuando la plataforma de criptomonedas Poly Network sufrió un ataque informático el año pasado, por ejemplo, según se informa, recurrió a llamar a su atacante «Sr. White Hat», ofreció una recompensa de 500,000 dólares para que devolviera los fondos robados y se ofreció a nombrarlo su «asesor jefe de seguridad». La mayor parte de los fondos se devolvieron a través de y.
«: Es un fastidio convertir las criptomonedas en dinero real.»Dane Sherrets, arquitecto sénior de soluciones de HackerOne
Tras observar este tipo de comportamiento a principios de este año, el Departamento de Justicia de EE. UU. tendió una rama de olivo, afirmando que no aplicaría la Ley federal contra el fraude y el abuso informático (CFAA) a aquellos piratas informáticos que, a su juicio, actúen de «buena fe» mientras llevan a cabo «investigaciones de seguridad».
Por supuesto, es poco probable que ninguna de estas medidas conciliadoras logre disuadir o disuadir a los piratas informáticos que trabajan para Estados como Corea del Norte, país que, según afirman las autoridades estadounidenses, estaría detrás del ataque a la red blockchain Harmony. Los Estados-nación tienen diferentes motivos para lanzar ciberataques.
Sherrets, de HackerOne, señala que los procesos y las tarifas de los programas de recompensa por errores siguen en constante evolución y es probable que cambien en los próximos meses y años. «Lo que probablemente veremos en el futuro es que se preste más atención al riesgo de pérdidas y a la indemnización que corresponde por los distintos tipos de daños», afirma. «Creo que es lógico pensar que las recompensas seguirán aumentando». «Simplemente creo que lo que se pagará y cómo se pagará serán diferentes».
