PUNTOS IMPORTANTES:
- El protocolo DeFi bZx sufrió un ataque de phishing el 5 de noviembre.
- El ciberataque provocó que la clave privada que controla las implementaciones en Polygon y Binance Smart Chain se viera comprometida.
- Las pérdidas según la empresa de seguridad blockchain, SlowMist, ascienden a más de 55 millones de dólares.
Nuevamente un protocolo de las denominadas “finanzas descentralizadas (DeFi)” fue víctima de un ciberataque el pasado 5 de noviembre, se trata del protocolo de préstamos bZx, el cual informó que uno de sus desarrolladores sufrió un ataque de phishing que provocó que se viera comprometida la clave privada de implementaciones, resultando en pérdidas de más de 55 millones de dólares.
La información fue dada a conocer inicialmente por bZx a través de su cuenta en la red social Twitter:
“Hace una hora, parece que la clave privada que controla las implementaciones de Polygon y BSC se vio comprometida, lo que provocó la pérdida de fondos. La implementación de Ethereum está bajo el control de DAO y no se ve afectada. Pronto proporcionaremos más actualizaciones”
Como respuesta este tuit, la firma de seguridad blockchain SlowMist indicó que hasta el momento de la publicación el monto sustraído por la entidad atacante ascendía a más de 55 millones de dólares, compartiendo además 7 direcciones de monederos presuntamente involucrados en el ciberataque.
Luego de ello, bZx publicó una serie de tuits explicando un poco más la situación y finalmente expuso un informe preliminar “post mortem”, en donde se detallan los datos encontrados tras su investigación. En dicho informe, el equipo de bZx reveló que el inconveniente surgió debido a que a un “desarrollador de bZx le robaron las claves privadas de su monedero personal en un ataque de phishing” en su ordenador. Según los administradores de bZx, esto le facilitó al atacante el acceso “al contenido de los monederos de los desarrolladores de bZx”, y también a la clave privada mencionada anteriormente.
Según el informe publicado por el equipo de bZx, tras “obtener el control de los protocolo BSC y Polygon” la entidad responsable del ataque drenó ambos protocolos y procedió a actualizar “el contrato para permitir el drenaje de todos los tokens de los contratos que habían dado aprobación ilimitada”, terminando afectados no sólo el desarrollador de bZx sino varios “prestamistas, prestatarios y farmers con fondos en Polygon y BSC, y aquellos que habían otorgado aprobaciones ilimitadas a esos contratos”.
La startup aclaró que “los contratos inteligentes bZx en sí mismos no se vieron comprometidos”, y que “el protocolo Ethereum bZx no fue atacado” ya que “se rige por una Organización Autónoma Descentralizada o DAO” (por sus siglas en inglés). La startup agregó que “el despliegue en Ethereum, su gobernanza y su tesorería DAO no terminaron viéndose afectados por este incidente”.
El equipo de bZx también develó que recibió informes de que “un usuario tenía un saldo negativo y las tasas de utilización eran altas”, y allí determinó que se había producido “actividad sospechosa en BSC y Polygon”. Por lo tanto, la startup se encargó de rastrear los fondos sustraídos hasta distintas direcciones de monederos. Aunado a esto, los desarrolladores obtuvieron “la dirección IP de los piratas informáticos de los registros de la aplicación bZx y los registros de la cuenta de KuCoin”, que presuntamente estuvo involucrada en la extracción de los fondos.
Ante lo sucedido, bZx indicó que se contactó con la empresa Tether Limited y con el intercambio Binance, y estos procedieron a congelar los fondos en USDT y BZRX (token nativo del protocolo) de los monederos de la entidad atacante para evitar que se transfieran.
La startup también contactó a la empresa Circle para solicitar el congelamiento de los USDC sustraídos, así como también al intercambio de criptomonedas KuCoin, para identificar la cuenta en dicha casa de cambio que supuestamente está asociada a los ciberatacantes y que fue usada “para transferir dentro y fuera” de KuCoin.
Desde bZx también fueron develadas las direcciones de monederos involucradas y los montos que poseían al momento de realizar su investigación. Entre ellas se encuentran: una dirección de Polygon, con un total de 2 millones de tokens BZRX; tres direcciones de Binance Smart Chain (BSC), con montos de 10 millones de tokens BZRX en la primera dirección, 2,5 millones de tokens BZRX en la segunda dirección y una tercera dirección en la cual no especificaron el monto, pero el equipo de bZx afirma que es el “monedero principal en BSC de los hackers utilizado en el ataque”.
Aunado a esto, el equipo de bZx compartió otras 8 direcciones de monederos en Ethereum que supuestamente también se vieron involucradas en el ciberataque. Dichas direciones registran montos de 10 millones de tokens BZRX, 12 millones de tokens BZRX, 1,5 millones de tokens BZRX, 4 millones de dólares en Ethereum (monedero principal de los ciberatacantes), en otro monedero hay 1,4 millones de dólares en DAI, 243.000 USD en USDC y 15 millones de dólares en ETH, otras direcciones poseen 2 millones de dólares en ETH y 137.426 USDT (congelados), 191.697 USDT (congelados) y, además, supuestamente hay dos direcciones más relacionadas con transferencias a KuCoin.
Con los montos establecidos en el informe, se calcula una pérdida aproximada de 38 millones de tokens BZRX (16,7 millones de dólares aproximadamente, según datos de CoinGecko) y alrededor de 33 millones en el resto de tokens y criptomonedas, para un total aproximado de 49,7 millones de dólares.
Aún así, bZx aclaró que la cifra de pérdidas no es definitiva, ya que todavía está determinando el monto total sustraído. El equipo encargado de este protocolo afirmó que trabajará con la policía, con los intercambios y con los investigadores para identificar a la entidad atacante, y así recuperar los fondos robados. En este sentido, señaló que desarrollará “un plan de compensación para los usuarios afectados”.
Este no sería el primer ciberataque que sufre el protocolo bZx, ya que en el 2020 fue víctima de otros tres ataques cibernéticos. Dos de ellos ocurrieron en febrero, reportando pérdidas de 630.000 USD y 350.000 USD, respectivamente; y el tercero fue ejecutado en septiembre, y por el cual perdieron 8 millones de dólares, los cuales pudieron ser recuperados posteriormente.
Los protocolos DeFi han estado en la mira de los ciberatacantes durante todo el año, quienes han aprovechado el auge de estos proyectos y sus vulnerabilidades. Recientemente se conoció que el protocolo DeFi Cream Finance sufrió su tercer ciberataque este 2021, registrando perdidas por de más de 130 millones de dólares en su más reciente hackeo.
Descargo de responsabilidad: Toda la información encontrada en Bitfinanzas es dada con la mejor intención, esta no representa ninguna recomendación de inversión y es solo para fines informativos. Recuerda hacer siempre tu propia investigación.
