La firma de seguridad blockchain SlowMist ha lanzado luz sobre determinadas vulnerabilidades de seguridad en exchanges centralizados y de qué forma los piratas informáticos las emplean para efectuar ataques de depósitos falsos.
Si bien la tecnología blockchain se halla en sus primeras etapas, los piratas informáticos están desarrollando técnicas complejas para hurtar fondos de proyectos y usuarios.
¿De qué manera los exchanges depositan fondos en los monederos de los usuarios?
Cuando se efectúa un depósito en un exchange centralizado de criptomonedas, hay múltiples pasos antes que el monto se acredite en la dirección de los usuarios.
La siguiente infografía muestra esos pasos, empezando con una petición de depósito y la generación de un monedero único para el usuario.
Sin embargo, los piratas informáticos están engañando al proceso al mandar transacciones falsificadas que el exchange identifica como depósitos auténticos. SlowMist compartió un caso de “TON Bounce-back False Top-up”.
Estudio de caso de ataque de depósito falso en TON
Los piratas informáticos han explotado las vulnerabilidades en la transacción para depositar Toncoin (TON), un proyecto de la plataforma de correo Telegram.
La siguiente captura muestra una transacción usando la interfaz RPC. Generalmente, los exchanges centralizados comprobarán si la dirección de depósito de los usuarios se mienta en el “destino” de la propiedad “in_msg”.
Sin embargo, si los exchanges no aprecian la propiedad “out_msgs”, podrían acreditar fondos en las cuentas de los usuarios sin percibir el depósito. En términos fáciles, la propiedad “out_msg” rembolsaría los fondos a su cuenta de origen.
SlowMist asimismo ha compartido las mejores prácticas para eludir ataques de depósitos falsos:
- Mecanismo de confirmación múltiple para eludir caer en la trampa de un ataque de depósito falso.
- Coincidencia estricta de transacciones para asegurar que la transacción coincida con el patrón de transacción normal.
- Un sistema de control de peligros que podría advertir transacciones maliciosas.
- Revisión manual para depósitos más grandes y para reducir la fiabilidad del sistema.
- Mejora de la seguridad de la API para eludir que los malos accedan al sistema
- Restricciones temporales de retiro una vez que el monedero de un usuario recibe un depósito.
- Actualizaciones periódicas de seguridad para corregir las vulnerabilidades, si las hubiese.
¿Tiene algo que decir sobre el ataque de depósito falso o cualquier otro tema? Escríbanos o únase a la discusión en nuestro canal de Telegram. También puede toparnos en Facebook o X (Twitter).
Monterrey (México), 1990. Estudió una licenciatura en comunicación y comenzó trabajando en medios locales de su ciudad, como periódicos, revistas, estaciones de radio o canales de televisión. Tiene un gran interés por la cultura mexicana, incluyendo la música, la comida y la historia. Es un apasionado de los deportes, especialmente del fútbol.
