Investigadores chinos encuentran vulnerabilidades “épicas” en EOS

Vulcan 360, un equipo de investigadores de China, informó el hallazgo de una serie de vulnerabilidades que comprometen el funcionamiento de los nodos de la blockchain de EOS. De acuerdo con la investigación, algunos de los errores podría permitir la ejecución de códigos arbitrarios de manera remota en los nodos, por lo que un atacante podría tomar el control de estos y de la red.

El riesgo es significativo, pues más del 50% de las direcciones de tokens de EOS aún no se encuentran registradas en la red. Esto pone en peligro varios millones de dólares invertidos y podría, en el peor de los casos, afectar las cotizaciones del mercado de EOS.

De acuerdo con la publicación realizada por Vulcan 360 este 29 de mayo a través de su blog, el equipo informó a Daniel Larimer, CTO de EOS sobre el hallazgo y este expresó que no se dará el lanzamiento oficial de la mainnet hasta tanto no hayan resuelto este problema. Hace apenas horas Larimer había aprovechado su cuenta en la red social Twitter para lanzar una campaña de búsqueda de bugs en la red antes de su lanzamiento en versión 1.0, con una recompensa de 10.000 dólares.

Debido a este tipo de fallas, descubierta por los investigadores Yuki Chen y Zhiniang Peng, y a la naturaleza descentralizada de las blockchains, una red de este tipo podría verse comprometida completamente, de allí la importancia del hallazgo de la empresa china. Debido a este error en el protocolo, el atacante solo debe construir y publicar un contrato inteligente que contiene su código malicioso, que se ejecutará en un supernodo EOS, activando una falla de seguridad en la red con esta filtración. Una vez que el contrato se incluye en un nuevo bloque, todos los nodos son susceptibles de ataque.

Así el atacante puede tomar posesión del nodo y puede utilizarlo para que su contrato con el código malicioso sea introducido en un nuevo bloque, lo que a su vez provoca que todos los nodos de la red puedan ser controlados remotamente. 

El nodo malicioso primero analiza el contrato, luego se desencadena la vulnerabilidad y el atacante controla el supernodo EOS que analizó el contrato. El atacante puede robar la clave privada de los supernodos o controlar el contenido de los nuevos bloques. Además, los atacantes pueden introducir el contrato malicioso en un nuevo bloque y publicarlo. Como resultado, todos los nodos completos en toda la red serán controlados por el atacante.

El supernodo EOS queda a merced del atacante que podrá robar su clave, controlar las transacciones de la criptomoneda de la red o adquirir información financiera y de privacidad del sistema y los usuarios. Las claves de las carteras conservadas en la red también están en riesgo. Como consecuencia del análisis del equipo de Vulcan 360, se preparó un parche para mitigar el error, pero aún presenta inconsistencia para su implementación definitiva, según se afirma en el documento.

El equipo de Vulcan 360 instó a los responsables del desarrollo de proyectos blockchain a prestar mayor atención a la seguridad, dado que los sistemas que utilizan la tecnología de contabilidad distribuida son especialmente susceptibles a este tipo de fallas, que pueden comprometer no solo el bienestar de la red, sino la inversión de sus usuarios.

El descubrimiento de estas fallas se da a pocos días del lanzamiento de la mainnet de EOS y la migración de sus tokens a esta nueva red. No obstante, estaba siendo cuestionado, especialmente por el riesgo de que millones de tokens EOS queden congelados debido a que sus dueños no han cumplido con el registro exigido por la compañía para esta migración.

Actualmente EOS tiene un valor de 11,99 dólares, lo que supone una retracción de 2,43%. La moneda tiene una importante capitalización de mercado, ubicándose en el quinto lugar en este renglón con un total de 10.643.905.506 dólares.

Imagen destacada por kmiragaya /stock.adobe.com