Análisis del mayor ataque hacker en el ámbito de Web3

El 21 de febrero de 2025, una conocida plataforma de intercambio sufrió un ataque grave en su billetera fría de Ethereum, con aproximadamente 401,346 ETH, 15,000 cmETH, 8,000 mETH, 90,375 stETH y 90 USDT transferidos a una dirección desconocida, con un valor total de aproximadamente 1.46 mil millones de dólares.

El atacante, a través de métodos de phishing cuidadosamente diseñados, logró que los firmantes de la billetera multichain de la plataforma aprobaran transacciones maliciosas. El proceso de ataque es el siguiente:

1. El atacante despliega anticipadamente un contrato malicioso que contiene una puerta trasera para transferencias de fondos.
2. Alterar la interfaz frontal de Safe, de modo que la información de la transacción que ven los firmantes no coincida con los datos enviados realmente a la billetera de hardware.
3. Obtener tres firmas válidas a través de una interfaz falsificada, reemplazar el contrato de implementación de la billetera multifirma de Safe por un contrato malicioso, y así controlar la billetera fría y transferir fondos.

La plataforma afectada confió en Sygnia para realizar una investigación forense, con el fin de determinar la causa raíz del ataque, identificar el alcance y la fuente del ataque, y desarrollar estrategias de mitigación de riesgos. Los resultados de la investigación muestran:

• Los recursos en el bucket S3 de Safe han sido inyectados con código JavaScript malicioso.
• La hora de modificación de los recursos y el historial de la red indican que el código malicioso fue inyectado directamente en el bucket S3 de AWS de Safe.
• El código JavaScript inyectado está diseñado para manipular transacciones, alterando el contenido de la transacción durante el proceso de firma.
• El código malicioso tiene condiciones de activación específicas y se ejecuta solo cuando la fuente de la transacción coincide con una dirección de contrato específica.
• Dos minutos después de la ejecución de la transacción maliciosa, se subieron los recursos de JavaScript de la versión actualizada, eliminando el código malicioso.
• Las pruebas preliminares apuntan a que el ataque se originó en la infraestructura de AWS de Safe.
• Actualmente no se han encontrado signos de que la infraestructura de la plataforma afectada haya sido comprometida.

Este incidente expuso problemas profundos en la gestión de seguridad y la arquitectura técnica de la industria de las criptomonedas. El problema principal radica en la invasión del servicio de almacenamiento de AWS, lo que llevó a la alteración del JavaScript, modificando el contenido de las transacciones iniciadas por el front-end de Safe. Si el front-end de Safe hubiera implementado una verificación básica de SRI, incluso si el JavaScript hubiera sido alterado, podría haberse evitado este tipo de incidente. Al mismo tiempo, la plataforma afectada no verificó adecuadamente la información de las transacciones antes de confirmarlas al usar billeteras de hardware, esta excesiva confianza en el front-end de Safe también es un problema clave.

Las carteras de hardware tienen limitaciones al manejar transacciones complejas, ya que no pueden analizar y mostrar completamente los datos detallados de transacciones de billeteras de múltiples firmas, lo que lleva a que los firmantes realicen "firmas ciegas" sin verificar completamente el contenido de la transacción.

Con el rápido desarrollo de la tecnología Web3, la frontera entre la seguridad del frontend y la seguridad de la cadena de bloques se está volviendo cada vez más difusa. Las vulnerabilidades tradicionales del frontend (como XSS, CSRF) presentan nuevas dimensiones de ataque en el entorno Web3, mientras que problemas como las vulnerabilidades de contratos inteligentes y los defectos en la gestión de claves privadas amplifican aún más el riesgo.

Para enfrentar estos desafíos, la industria necesita tomar las siguientes medidas:

1. Implementar la verificación de firmas estructuradas EIP-712, asegurando que el front-end genere datos verificables y que el contrato inteligente verifique la firma.
2. Actualizar el firmware de la billetera de hardware, soportar EIP-712 y ejecutar la coincidencia semántica en la cadena.
3. Mejorar integralmente la seguridad de los dispositivos, la verificación de transacciones y los mecanismos de control de riesgos.
4. El desarrollo front-end debe llevar a cabo una verificación estricta en etapas como el acceso a DApp, la conexión de la billetera, la firma de mensajes, la firma de transacciones y el procesamiento posterior a la transacción.
5. Realizar auditorías de seguridad de contratos en cadena de forma regular.

Solo a través de múltiples y completas medidas de seguridad se puede proteger efectivamente el valor y la confianza de cada transacción en el entorno abierto de Web3, logrando la transición de "reparación pasiva" a "inmunidad activa".