Revisión de los incidentes de ataque de puentes cross-chain: casi 2 mil millones de dólares en activos afectados, más de 1.5 mil millones de dólares ya recuperados o compensados

En los últimos años, los puentes cross-chain se han convertido en un objetivo importante para los ataques de hackers. Debido a que muchas nuevas cadenas públicas carecen de activos de importancia, necesitan obtener fondos a través de puentes cross-chain desde cadenas públicas maduras como Ethereum, lo que convierte a los puentes cross-chain en proyectos intensivos en capital. Sin embargo, los frecuentes incidentes de seguridad también destacan la vulnerabilidad de los puentes cross-chain. Este artículo revisará diez incidentes significativos de ataques a puentes cross-chain que ocurrieron en los últimos años y resumirá las lecciones aprendidas.

ChainSwap: Pérdida de 8 millones de dólares, solucionada mediante la reemisión de tokens

En julio de 2021, ChainSwap sufrió dos ataques de hackers, lo que resultó en pérdidas de aproximadamente 8 millones de dólares. Más de 20 proyectos que utilizaron ChainSwap para realizar puentes cross-chain se vieron afectados. La investigación mostró que los atacantes aprovecharon una vulnerabilidad en el protocolo relacionada con la verificación de la validez de las firmas. Dado que las pérdidas se relacionaban principalmente con tokens de gobernanza, varios proyectos optaron por realizar un snapshot y emitir nuevos tokens para compensar a los usuarios afectados.

Poly Network: 610 millones de dólares robados, recuperados en su totalidad

En agosto de 2021, Poly Network sufrió un ataque de gran escala, con un monto involucrado de hasta 610 millones de dólares. El atacante aprovechó una vulnerabilidad en la lógica de gestión de permisos del contrato y logró modificar la dirección del validador en la cadena objetivo. A pesar de la sofisticación del método del ataque, el hacker finalmente devolvió todos los fondos. Poly Network luego llamó a este hacker "white hat" e invitó a ocupar el cargo de asesor de seguridad de la empresa.

Multichain: 6 millones de dólares afectados, parte ya pagada

En enero de 2022, Multichain descubrió una vulnerabilidad importante que afecta a varios tokens. Aunque la vulnerabilidad fue corregida a tiempo, todavía se robaron activos por valor de aproximadamente 6 millones de dólares. La razón fue que el contrato no verificó correctamente la validez de los tokens ingresados por el usuario. El equipo de Multichain ha recuperado cerca del 50% de los fondos robados y ha propuesto un plan de compensación.

QBridge: pérdida de 80 millones de dólares, solo se reembolsa el 2%

A finales de enero de 2022, el puente cross-chain QBridge del protocolo de préstamos Qubit fue atacado, con una pérdida de aproximadamente 80 millones de dólares. Los atacantes aprovecharon una vulnerabilidad en el manejo de tokens en la lista blanca de QBridge para acuñar con éxito una gran cantidad de tokens xETH falsos en BSC. Actualmente, la mayor parte de los fondos robados aún no ha sido compensada.

Meter.io: 4.4 millones de dólares robados, promete compensar con ingresos futuros

En febrero de 2022, el puente cross-chain Meter Passport fue atacado, lo que causó una pérdida de 4.4 millones de dólares. El problema radicaba en la "asunción de confianza errónea" en el código fuente original de la expansión de Meter. El equipo del proyecto se comprometió a emitir un nuevo token PASS para compensar y recomprar estos tokens con los ingresos futuros.

Ronin: 6.2 millones de dólares robados, se ha compensado en su totalidad

En marzo de 2022, la cadena Ronin detrás de Axie Infinity sufrió un grave incidente de seguridad, con pérdidas de aproximadamente 620 millones de dólares. Los atacantes obtuvieron acceso a sistemas clave mediante técnicas de ingeniería social. Aunque los fondos robados no pudieron ser recuperados, el equipo de desarrollo Sky Mavis recaudó 150 millones de dólares a través de una nueva ronda de financiación para compensar las pérdidas de los usuarios.

Wormhole: 326 millones de dólares en pérdidas, ya compensados

En febrero de 2022, el protocolo cross-chain Wormhole fue atacado, con una pérdida de aproximadamente 326 millones de dólares. Los atacantes aprovecharon una vulnerabilidad en la verificación de firmas del contrato en el lado de Solana. La empresa matriz de la compañía desarrolladora, Jump Crypto, inyectó rápidamente fondos equivalentes para restaurar el funcionamiento normal de Wormhole.

EvoDeFi: se estima una pérdida de más de diez millones de dólares, sin ser atendida

En junio de 2022, el DEX ValleySwap en el ecosistema de Oasis experimentó una grave desanclaje del USDT, debido a la falta de liquidez en el puente cross-chain EVODeFi que utilizaba. La cantidad específica de pérdidas no se conoce, pero se estima que está en el nivel de decenas de millones de dólares. Las partes involucradas se apresuran a desvincularse de la situación, y las pérdidas de los usuarios aún no se han resuelto.

Horizon: Casi 100 millones de dólares robados, se está elaborando un plan de compensación

En junio de 2022, el puente cross-chain oficial de Harmony, Horizon, fue atacado, con una pérdida de aproximadamente 100 millones de dólares. La investigación preliminar sugiere que el problema podría deberse a la filtración de claves privadas. El equipo del proyecto está en negociaciones con la comunidad para desarrollar un plan de compensación.

Nomad: 190 millones de dólares perdidos, en proceso

En agosto de 2022, el puente cross-chain Nomad sufrió un grave incidente de seguridad, agotando aproximadamente 190 millones de dólares en liquidez. El problema se originó en un error de inicialización durante una actualización del contrato. No se ha proporcionado un plan de compensación claro, pero algunos hackers éticos ya han expresado su disposición a devolver los fondos.

Resumen

La frecuencia de accidentes de seguridad en los puentes cross-chain destaca la alta riesgo en este campo. Incluso los puentes cross-chain con alta clasificación de liquidez han sido atacados, lo que nos advierte que cualquier proyecto cross-chain puede enfrentar amenazas de seguridad.

Cabe destacar que los proyectos con un sólido respaldo suelen ser más efectivos en la recuperación de activos o en la compensación tras sufrir incidentes de seguridad. Por ejemplo, proyectos como Poly Network, Ronin Network y Wormhole, tras sufrir pérdidas significativas, han podido garantizar los derechos de los usuarios a través de diversas maneras.

Además, la capacidad de monitoreo en tiempo real y respuesta rápida del equipo del proyecto también es crucial. Algunos proyectos como Hop Protocol y StarGate actuaron rápidamente al detectar actividades sospechosas, logrando detener ataques potenciales.

Estos casos nos recuerdan que, al elegir puentes cross-chain, además de considerar factores técnicos, también debemos prestar atención al trasfondo del equipo del proyecto, la solidez financiera y la capacidad de manejo de emergencias, para proteger al máximo la seguridad de nuestros activos.