Ciberdelincuentes roban 76 millones de dólares en 13 segundos

MADRID.- Cada día se vuelve más común leer algún caso sobre fallos de seguridad que permiten que ciberdelincuentes roben criptomonedas, tal como el caso del fallo en el protocolo de stablecoin descentralizado (DeFi) basado en crédito, Beanstalk Farms.

Fue un ciberdelincuente quien robó 76 millones de dólares en tan sólo 13 segundos, al inicio esta información circuló en Twitter.

Posteriormente, la cuenta oficial de Beanstalk Farms lo ha confirmado, e incluso ha explicado que el atacante usó "un préstamo rápido para explotar el mecanismo de gobierno del protocolo y enviar los fondos a una billetera que controlaba".

Un préstamo flash permite a los usuarios pedir prestadas grandes sumas de criptomonedas por periodos muy cortos de tiempo y debe ser reembolsado antes de finalizar la transacción. Se ofrecen mediante protocolos de finanzas descentralizadas (DeFi) basados en Ethereum, y su principal propósito es proporcionar liquidez o aprovechar la arbitrariedad de los precios en un momento determinado.

Esto ha sido posible gracias a un préstamo flash obtenido a través del protocolo descentralizado Aave de cerca de mil millones de dólares en activos, según el análisis de la firma de seguridad de la blockchain CertiK, del que se hace eco el medio especializado estadounidense The Verge.

Los fondos prestados al atacante se intercambiaron por judías, que son las recompensas que reciben los usuarios por contribuir con activos a un gran fondo de financiación que es utilizado para equilibrar el valor de un token, conocido como judía.

El ataque se ha aprovechado de un exploit en el mecanismo de gobernanza presente en Beanstalk y otros muchos proyectos DeFi. Por él, los participantes pueden votar para cambiar el código de la plataforma y reciben derechos de voto en proporción al valor de los tokens que tienen.

El atacante utilizó las judías ganadas con su intercambio para tener un 67 por ciento de los votos de Beanstalk Farms y así aprobar la ejecución del código que ha transferido los activos por valor de 76 millones de dólares a su propia cartera, según ha reconocido la empresa.

Beanstalk ha tratado de recuperar buena parte de los fondos robados con una oferta al atacante publicada en su perfil de Twitter. Si devuelve el 90 por ciento de los fondos robados a una cartera de la plataforma, se le entregará el 10 por ciento restante en calidad de recompensa Whitehat, acuerdo que ofrecen muchas organizaciones, páginas web y desarrolladores a los individuos que reportan fallos y vulnerabilidades en su plataforma.

Muchos usuarios de Beanstalk Farms afirman en el servidor de Discord de la plataforma haber perdido decenas de miles de dólares tras el ataque. Desde entonces, el atacante ha estado moviendo los fondos robados a través de Tornado Cash.