En 2022, los hackers maliciosos utilizaron tácticas cada vez más avanzadas para explotar las debilidades de las aplicaciones descentralizadas. El valor total de los activos perdidos por los hackeos criptográficos este año totalizó un récord de $ 3 mil millones, según los analistas de seguridad. Aquí están los hacks Crypto más grandes de 2022.
En 2022, los proyectos basados en criptomonedas experimentaron una serie de hackeos y exploits devastadores en lo que se considera el peor año de la historia cuando se trata de asegurar activos digitales.
En general, la frecuencia de los hackeos criptográficos se aceleró rápidamente este año, superando un récord de $ 3 mil millones en fondos totales perdidos, un aumento de $ 2 mil millones perdidos por hackeos en 2021, según un informe de Chainalysis.
El año nos mostró cómo los hackers maliciosos o de sombrero negro están utilizando tácticas cada vez más avanzadas para explotar las debilidades en las aplicaciones descentralizadas que pueden tener errores, como cualquier otra pieza de software.
Entre los principales robos criptográficos de 2022, los incidentes de seguridad que involucran puentes cruzados de cadenas y protocolos financieros descentralizados se destacaron por sufrir daños por una suma de cientos de millones de dólares en exploits individuales. Durante tales exploits, los piratas informáticos accedieron y robaron activos criptográficos sin autorización aprovechando las vulnerabilidades en los contratos inteligentes.
Este artículo explora los mayores hackeos criptográficos de 2022 y salió mal antes de cada ataque.
Red Ronin — $625 millones
El 29 de marzo, Ronin, una cadena lateral que alberga el juego Axie Infinity de Sky Mavis, fue explotada por $ 625 millones en varios activos criptográficos, lo que lo convierte en el mayor robo de criptomonedas hasta la fecha. Sky Mavis desarrolló Ronin para alojar su popular juego de blockchain Axie Infinity. Pero las cosas empeoraron cuando el equipo no pudo proteger la red Ronin de los perpetradores, más tarde identificados como el grupo de piratería Lazarus de Corea del Norte.
A través de un ataque de phishing basado en correo electrónico contra un ex empleado, el grupo de piratería obtuvo acceso a la infraestructura de TI de Sky Mavis. Allí, los piratas informáticos localizaron y robaron claves privadas a los nodos validadores de blockchain de Ronin, que la empresa almacenó en sus servidores internos. Cuando los piratas informáticos tuvieron acceso a las claves de validación, tomaron el control de toda la red Ronin y transfirieron más de 173,600 ether (ETH) y 25.5 millones de monedas estables de USDC, por un total de más de $ 625 millones.
Afortunadamente para los usuarios a quienes se les quitaron sus fondos durante este incidente, la mayoría fueron reembolsados en su totalidad, afirmó la firma. Una semana después del hackeo, SkyMavis recaudó $ 150 millones en una ronda de financiación liderada por Binance y combinó esto con sus propios activos para pagar a todos los afectados por el exploit.
FTX — $370-$400 millones
A diferencia de otros robos de seguridad importantes durante el año, como los que afectan a las aplicaciones descentralizadas de blockchain que operan en contratos inteligentes, el intercambio centralizado FTX, ahora colapsado, cayó en uno de los mayores hackeos de 2022. Teniendo lugar en noviembre, el hackeo de FTX salió a la luz después de que los administradores oficiales de Telegram del intercambio informaran sobre «acceso no autorizado».
Los datos de Onchain mostraron que las billeteras del intercambio perdieron fondos entre $ 370 millones y $ 400 millones poco después de que su ex CEO Sam Bankman-Fried solicitara la protección por bancarrota del Capítulo 11.
Algunosmedios de comunicación combinaron el hackeo conotra transferencia sospechosa de $ 400 millones realizada desde FTX por orden de la Comisión de Valores de las Bahamas para salvaguardar los activos, lo que causó confusión. Sin embargo, los dos fueron incidentes separados.
El nuevo jefe de FTX, John J. Ray III, testificó que el hackeo y otra gran transferencia de activos ordenada por los reguladores bahameños estaban separados. Esto es verificado por la firma de análisis Chainalysis, que está trabajando con FTX para rastrear los activos.
«Los $ 400 millones robados y pirateados de FTX están completamente separados de los $ 400 millones en poder de la Comisión de Valores de las Bahamas. Sin embargo, es totalmente comprensible que la gente estuviera confundida por esto», dijo un portavoz de Chainalysis a The Block.
Ray también reveló en un documento de testimonio preparado que FTX almacenaba claves privadas en sus billeteras de manera no cifrada y había adoptado controles de seguridad muy deficientes, factores que podrían haber permitido fácilmente que el hackeo hubiera tenido lugar.
WormHole — 325 millones de dólares
En febrero, Wormhole, un protocolo de puente de cadena cruzada, fue pirateado en el mayor exploit de puente de este año. Wormhole permite a los usuarios bloquear su ETH y recibir un activo vinculado llamado Wormhole ETH (wETH) en la red Solana.
El 2 de febrero, Wormhole cayó ante un hacker que falsificó ciertas firmas de seguridad en el puente y acuñó 120,000 wETH por valor de $ 325 millones de la nada. El hacker intercambió el wETH acuñado ilícitamente por ETH real en la red Ethereum, drenando así todos los activos mantenidos en Wormhole.
El incidente detuvo las operaciones del puente y durante algún tiempo pareció que el final de Wormhole estaba cerca. Hubiera sido increíblemente difícil recuperar las pérdidas, pero para sorpresa de todos, unos días después del hackeo, Wormhole dijo que reemplazó todo el ETH robado y abrió el puente.
Jump Crypto, una firma comercial y de capital de riesgo que incubó Wormhole, confirmó que repuso los 120,000 ETH robados de sus propios fondos para ayudar a mantener el puente.
Nomad — $190 millones
El 7 de agosto, Nomad, un puente que conecta las cadenas de bloques Ethereum, Avalanche, Moonbeam y Evmos, sufrió el segundo mayor hackeo de puente cruzado de cadenas del año con $ 190 millones en activos perdidos. El hack fue el resultado de una actualización defectuosa en la que los desarrolladores de Nomad designaron erróneamente 0x00 (la dirección cero) como la raíz de confianza.
Esta función significaba que cualquiera podía retirar fondos del puente sin pasar por la verificación del contrato de fideicomiso y podía eludir fácilmente su seguridad. A medida que el problema de la actualización se hizo público, más de 300 direcciones se apresuraron a tomar dinero de Nomad en un exploit libre para todos. Afortunadamente, algunas de las direcciones pertenecían a hackers éticos que luego devolvieron $ 22 millones a Nomad.
Beanstalk Farms — $182 millones
Beanstalk Farms, un protocolo de stablecoin, fue atacado en abril de 2022 en el hackeo de gobernanza más grande del año.
Un hacker desconocido aprovechó una laguna de seguridad en la organización autónoma descentralizada (DAO) de Beanstalk, que supervisa la toma de decisiones para el proyecto de stablecoin. En Beanstalk, cualquiera podía presentar una propuesta y aprobarla en un día si recibía los votos mayoritarios de los titulares del gobierno nativo de Beanstalk llamado frijol.
Un actor malicioso presentó una propuesta pidiendo a la comunidad que enviara activos criptográficos desde el tesoro de Beanstalk a la dirección criptográfica del hacker. Cuando se aprobó la votación, la transferencia se realizó automáticamente.
El atacante tomó un préstamo flash, un préstamo que se puede tomar sin ninguna garantía, si se devuelve dentro de la misma transacción. Con esto, el hacker compró millones de dólares en tokens de frijoles para asegurarse de que tenían suficientes tokens para que se aprobara el voto.
Con este truco, el hacker pudo canalizar unos $ 80 millones en tokens de frijoles de la tesorería del proyecto sin que los desarrolladores principales de Beanstalk lo supieran. Después de esto, el hacker vendió esos tokens de frijoles en la plataforma, la pérdida final terminó siendo significativamente mayor para Beanstalk. La firma de seguridad PeckShield estimó que el incidente le costó a Beanstalk $ 182 millones en pérdidas de protocolo.
