Hace unos años, los piratas informáticos atacaron sin piedad las plataformas de intercambio de criptomonedas, sustrayendo monedas digitales por valor de millones de dólares. Hoy en día, dado que las plataformas de intercambio han mejorado la seguridad de sus redes, los delincuentes se centran en los puentes entre cadenas, es decir, herramientas que permiten intercambiar diferentes criptomonedas entre distintas cadenas de bloques.
Y, a diferencia de la anterior oleada de ataques a criptoactivos, muchos de estos últimos robos están sustraendo miles de millones de las cuentas y están —quizás de forma injusta— minando la confianza en la propia seguridad de la cadena de bloques.
Tenga en cuenta lo siguiente: Chainalysis, una empresa especializada en el análisis de cadenas de bloques, estima que se ha producido un asombroso «: 2 000 millones de dólares en criptomonedas han sido robados en 13 ataques distintos a puentes entre cadenas», y que la mayor parte de esa cantidad se ha sustraído este año. Los ataques a los puentes representaron el 69 % del total de fondos sustraídos en 2022, según informó la empresa. Lo que resulta aún más preocupante es que Chainalysis estima que alrededor de 1.000 millones de dólares de estos robos han sido obra de un grupo de hackers vinculado a Corea del Norte, conocido como « » ().
Some of the more notorious cross-chain bridge cryptocurrency thefts of 2022 include: Poly Network, $611 million (mostly returned); Nomad, $200 million; Harmony, $100 million; Ronin Network/Axie Infinity, as much as $625 million; and Wormhole, $325 million (restored to user accounts).
Este tipo de atracos de tal magnitud deberían ser motivo de preocupación para los responsables de seguridad de las empresas. Numerosas empresas de renombre de una amplia variedad de sectores han puesto en marcha iniciativas relacionadas con la cadena de bloques para aprovechar la tendencia hacia los servicios descentralizados de la Web 3.0 . Algunas empresas, como los bancos, están utilizando sus propias cadenas de bloques empresariales y para facilitar los pagos, mientras que las empresas de videojuegos las han utilizado para gestionar las transacciones dentro de los juegos. La seguridad de los puentes subyacentes que conectan todas estas plataformas resultará cada vez más fundamental mucho después de que la fiebre por las criptomonedas haya perdido fuerza.
Cómo funcionan los puentes entre cadenas
Para comprender por qué los ataques a los puentes entre cadenas están aumentando en gravedad e impacto, resulta útil entender cómo se relacionan con las cadenas de bloques, cómo funcionan y cómo interactúan con las plataformas de intercambio de criptomonedas.
Por un lado, las cadenas de bloques no son más que libros de contabilidad digitales irrefutables destinados a registrar la existencia de elementos digitales. Se consideran prácticamente impenetrables y de gran seguridad. Cada criptomoneda, ya sea bitcoin, ether o cualquier otra, cuenta con una cadena de bloques propia.
«: En cuanto se produce una concentración de valor, los atacantes entran en acción». Para ellos es un auténtico imán.»Tara Annison, autora de «The Bitcoin ABC Book»
Si desea cambiar una moneda digital —por ejemplo, un bitcoin por ether, o incluso un dólar—, se utilizan los puentes entre cadenas para realizar la conversión entre los distintos «lenguajes» de las cadenas de bloques.
Ahí es donde la situación se vuelve más arriesgada. A diferencia del mundo físico, en el que uno puede entrar en un banco o acudir al mostrador de cambio de divisas de un aeropuerto para cambiar moneda extranjera, en el mundo digital es necesario superar una serie de obstáculos técnicos para intercambiar criptomonedas. El proceso comienza depositando los fondos con los que desea operar en la entrada virtual de un puente entre cadenas. Una vez allí, los fondos —a menudo denominados «tokens de criptomonedas»— quedan bloqueados en un contrato inteligente, que es un acuerdo de cumplimiento automático integrado en un código informático gestionado por una cadena de bloques. (Los contratos inteligentes también son vulnerables a los ataques informáticos.)
A continuación, los tokens, basados en el «tipo de cambio» definido en el contrato, se envían a través del puente y se intercambian por tokens de la otra cadena de bloques. El aspecto técnico de cómo ocurre esto es tema para un debate aparte —o para una tesis doctoral—.
Centralización momentánea: un punto débil
Las plataformas de blockchain, sin duda, no son seguras al 100 %, a pesar de las afirmaciones de que son imposibles de piratear. De hecho, los ciberdelincuentes lanzaron en 2019 una serie de los denominados «ataques del “51 %», en los que se hicieron con el control de más de la mitad de la potencia de cálculo de una cadena de bloques de criptomonedas y, a continuación, reescribieron el historial de transacciones de dicha cadena de bloques —supuestamente inmutable— para sustraer criptomonedas.
«Las plataformas de blockchain no son, desde luego, seguras al 100 %, a pesar de que se afirme que son imposibles de piratear.»
Sin embargo, es poco probable que los ataques del 51 % se produzcan con frecuencia, ya que son técnicamente difíciles de llevar a cabo. Además, resulta costoso que una sola entidad controle tanta potencia de cálculo, ya que el coste de un hardware tan potente ascendería, según , a unos 752,000 dólares por hora, según. Por ello, los ciberdelincuentes se centran en atacar tecnologías vulnerables que operan en entorno adyacente a las cadenas de bloques, entre las que se incluyen carteras digitales utilizadas para almacenar criptomonedas y, más recientemente, los puentes entre cadenas.
Los puentes entre cadenas son, en teoría, seguros. Sin embargo, si los piratas informáticos descubren fallos de programación en las herramientas de cualquiera de los extremos de la transacción, pueden llevar a cabo todo tipo de actividades dudosas, como robar tokens antes o después de que pasen por el puente, acuñar moneda antes de que se haya replicado o apropiarse de los fondos que cruzan el puente.
Esta vulnerabilidad sistémica ha suscitado cierto debate sobre la conveniencia fundamental de las tecnologías que sirven de puente entre las cadenas de bloques. Si se pretende que las criptomonedas constituyan un sistema de finanzas descentralizadas (DeFi) que contrarreste la centralización de las finanzas tradicionales (TradFi), el hecho de «aparcar» criptomonedas en cualquiera de los extremos de un puente, en esencia, resulta un claro indicio de centralización para los puristas de las criptomonedas.
[Lea también: ¡Sorpresa! Se trata de otra vulnerabilidad de día cero.]
«En cuanto se concentra el valor, los atacantes entran en acción», afirma Tara Annison, creadora del juego « : Game Against Cryptocurrency» ( ) y coautora de «: The Bitcoin ABC Book» ( ), un libro que no está destinado únicamente a los niños. «Para ellos es un auténtico imán, y en estos momentos los puentes están de moda».
Victor Young está de acuerdo. El fundador y arquitecto jefe de Analog, una plataforma descentralizada de transacciones en cadena de bloques, compara el sistema con el hecho de llevar grandes sumas de dinero en un furgón blindado que es asaltado mientras se desplaza entre distintos bancos. «Todos estos puentes están muy centralizados, ya que concentran la liquidez en un único lugar», afirma. «Ese es el problema que surge cuando se cuenta con un depositario centralizado para los fondos. «Se trata de un punto único de fallo que es necesario resolver».
¿Va demasiado rápido?
Neil Ford, director de crecimiento de Big Dog Mining y especialista en marketing en , , CoinGeek y —una publicación en línea dedicada al sector de la cadena de bloques—, añade que «no tiene claro por qué necesitamos tokens entre cadenas» en absoluto. Le preocupa que, si bien el código que ejecuta muchos puentes entre cadenas esté escrito con la mayor solidez posible, algunos de los nuevos participantes en este ámbito estén más interesados en dar prioridad al crecimiento que a la seguridad.
«. Todos deben tomarse las cosas con calma, reconocer que esto es una maratón y no una carrera, y dar máxima prioridad a la ciberseguridad.»Stephen Tong, cofundador de Zellic, una empresa emergente dedicada a la auditoría de seguridad de cadenas de bloques
«Se observan estas vulnerabilidades y vectores en los que la gente simplemente publica este código sin que haya sido sometido a pruebas exhaustivas», afirma. «Es imprescindible que ese puente entre cadenas sea totalmente seguro si se va a mover a través de él millones o miles de millones de dólares en criptomonedas».
Stephen Tong, cofundador de Zellic, una empresa emergente dedicada a la auditoría de seguridad de cadenas de bloques, afirma que gran parte del problema radica en las empresas de puentes entre cadenas, que vieron tanto potencial para obtener enormes beneficios durante la reciente fiebre por las criptomonedas que actuaron con demasiada precipitación, en detrimento de sus propios intereses. «Me parece que, en este ecosistema, existe una cultura de “enviar primero y preguntar después”, lo cual es comprensible dado el panorama de mercado extremadamente competitivo», afirma Tong.
Sin embargo, Young sostiene que eso es una fuente de problemas, ya que cuanto más rápido implementen las empresas de puentes entre cadenas su código, mayor será la probabilidad de que este presente fallos. «La realidad es que hay muchos aficionados por ahí en este nuevo y maravilloso mundo de la Web 3.0 », afirma. «Las empresas [dedicadas a las criptomonedas y a los puentes entre cadenas] deben volver realmente a lo básico». «Todos debemos tomárnoslo con calma, ser conscientes de que se trata de una maratón y no de una carrera, y dar máxima prioridad a la ciberseguridad».
Posibles soluciones
Sin embargo, no será fácil aumentar la seguridad de los puentes entre cadenas. De hecho, algunos expertos del sector, como el cofundador de Ethereum, Vitalik Buterin, , se muestran escépticos respecto a que esto sea posible. No obstante, los expertos han propuesto algunas estrategias para aumentar la seguridad de todo el ecosistema de la cadena de bloques.
[Lea también: ¿Qué es la gestión convergente de terminales?]
Hay quien sugiere dejar de lado por completo el intercambio de criptomonedas. Pero eso es un poco como decirle a alguien que puede evitar que le pirateen el ordenador desconectándolo de Internet. No es probable que eso ocurra. A las personas les gusta comerciar.
A falta de ello, Buterin y otros han abogado por avanzar hacia enfoques de cadena de bloques multicadena, en los que los proyectos de criptomonedas se implementan en numerosas cadenas en lugar de en una o dos.
«Con la centralización, solo hay un punto de ataque, como cuando todo su dinero está en un único banco y alguien simplemente llega y hace saltar la caja fuerte», explica Annison, autor, creador de videojuegos y experto mundial en criptoactivos. «Pero si se guarda en varios bancos, eso significa que hay varios bancos a los que alguien tendría que intentar atacar, lo que complica aún más las cosas a los piratas informáticos».
Hay quienes sostienen que una de las mejores opciones sería volver a lo básico y hacer hincapié en unas mejores prácticas de diseño y programación, realizar más auditorías y exigir responsabilidades a los ingenieros y desarrolladores por los errores evitables.
«Con la centralización, hay un único punto de ataque, como cuando todo su dinero está en un solo banco y alguien llega y hace saltar la caja fuerte.»Tara Annison
Tong, de Zellic, que se gana la vida realizando auditorías, advierte de que esto solo llegaría hasta cierto punto. Afirma que muchos ataques se producen después de que el código haya sido auditado y, posteriormente, modificado, lo que da lugar a vulnerabilidades críticas que no se detectaron al no haberse realizado una auditoría posterior.
«He visto muchos errores que se habrían detectado en auditorías de seguimiento; muchos errores tontos que nunca deberían haber llegado a la fase de producción», afirma. «Hay una diferencia entre sufrir un ataque informático cuando se ha hecho todo lo posible para evitarlo y aquellas situaciones en las que se sufre un ataque porque no se han realizado pruebas para asegurarse de que el código fuera sólido».
Las cadenas de bloques no se están colapsando
Annison afirma que, a pesar de todos los ataques informáticos recientes, es importante reconocer que no se está acabando el mundo. La gente debe tomarse un respiro y darse cuenta de que las tecnologías emergentes atraviesan una fase de adaptación. Las cadenas de bloques, en sí mismas, siguen siendo de gran utilidad y constituyen una base muy segura para el comercio digital, afirma.
«La cadena de bloques sobrevivirá», afirma. «Habrá algunos inversores descontentos, pero la cadena de bloques no va a colapsar por el hecho de que el precio de las criptomonedas haya bajado repentinamente o de que se haya producido un ataque informático en una plataforma de intercambio centralizada o descentralizada».
