Wormhole y los hacks del puente

Curiosidad

1. ¿Qué es un activo envuelto si no es una reclamación sobre la custodia y el código de un puente?
2. ¿Cómo permite un error de verificación de firmas que un atacante cree tokens sin colateral?
3. ¿Por qué los puentes son la parte más atacada en un mundo de múltiples cadenas?

Explorar

1. Un puente mantiene las monedas en una cadena y emite tokens en otra. El activo envuelto no es la moneda original; es un derecho sobre la custodia y el código del puente. Si el código falla, ese derecho pierde valor. Este mecanismo fragmenta la liquidez entre cadenas, pero introduce una dependencia crítica: el usuario debe confiar en que los operadores y el código del puente no fallarán ni serán comprometidos.
2. El 2 de febrero de 2022, un atacante explotó un error en la verificación de firmas del contrato Solana de Wormhole. Este error permitió crear 120,000 unidades de ETH “envueltas” sin necesidad de colateral, por un valor aproximado de 320 millones de dólares. Jump Crypto, el patrocinador de Wormhole, reemplazó esos fondos para mantener la confianza en el ecosistema. Este incidente demostró que una sola línea de código defectuosa puede agotar todo el respaldo financiero de un puente digital.
3. Los robos de puentes fueron la categoría más importante de ataques cibernéticos contra criptomonedas en 2022. El puente Ronin sufrió una pérdida de aproximadamente 600 millones de dólares en marzo, y el BNB Token Hub perdió fondos en octubre. Estos incidentes revelaron que, a medida que aumenta la complejidad multi-cadena, también lo hace la superficie de ataque. Los puentes se convierten en objetivos de alto valor porque concentran la liquidez de múltiples cadenas en un único punto de fallo.
4. El modelo de seguridad de un puente depende de sus suposiciones de confianza. Algunos puentes utilizan operadores de confianza que, en teoría, podrían coludir para robar fondos o censurar transacciones. Otros emplean verificación mediante cliente ligero o validación optimista, lo cual sacrifica la velocidad por la seguridad. La elección del mecanismo determina el perfil de riesgo: una mayor descentralización suele significar una finalización más lenta y una implementación más compleja.
5. Los usuarios interactúan con los puentes al bloquear activos en un contrato y recibir tokens envueltos en otra cadena. Este proceso otorga autorización al contrato del puente, lo que genera una exposición continua si el usuario no la revoca. Mantener tokens envueltos a largo plazo mantiene esa exposición abierta. El compromiso radica entre la comodidad del acceso entre cadenas y la carga de seguridad que implica gestionar múltiples capas de custodia.
6. Para verificar esta arquitectura, abra un explorador de bloques para cualquier cadena importante. Localice una transacción de token envuelto. Rastree la dirección del contrato que la emitió. Revise los informes de auditoría y las evaluaciones de seguridad asociadas a ese puente. Anote el número de operadores o validadores necesarios para aprobar transacciones. Esta inspección revela las suposiciones de confianza específicas que subyacen al valor del activo.

Datos clave

Ejercicio nueve, seis, tres, uno

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

• Wormhole Foundation, Wormhole Incident Report (February 2022)
• Chainalysis, Crypto Crime Report (2023)
• Ethereum.org, Documentation on Bridge Risks
• L2Beat, Bridges Risk Assessment