Wormhole ha anunciado un pago de 10 millones de dólares por recompensas de errores

Wormhole recompensa con 10 millones de dólares a los hackers blancos que identifiquen e informen de un fallo en su puente de cadenas cruzadas.

Tras un hackeo de 323 millones de dólares, el puente de criptomonedas estableció un programa de recompensas por errores en febrero.

El hacker, cuyo seudónimo es satya0x, comentó que los problemas de seguridad de blockchain representan una "amenaza existencial" para el futuro de la tecnología.

El programa de recompensas de Wormhole se basa en el nivel de riesgo descubierto por el hacker.

Un acto notable recompensado

Wormhole ha pagado 10 millones de dólares a un hacker que reveló una debilidad de seguridad en su contrato puente del núcleo de Ethereum en febrero, según su socio de recompensas por fallos Immunefi. La recompensa fue otorgada a un hacker de sombrero blanco con el seudónimo satya0x, que descubrió y reportó la falla que describió como un "error de autodestrucción de implementación de proxy actualizable."

Wormhole reveló la iniciativa en febrero, apenas unos días después de perder más de 323 millones de dólares en ETH a manos de un hacker en uno de los ataques más importantes al protocolo DeFi. Rápidamente modificó su puente de blockchain y ofreció al atacante 10 millones de dólares a cambio de los fondos.

El enfoque de Wormhole hacia la seguridad de su puente, recompensando a los hackers blancos y a los expertos en ciberseguridad que puedan detectar lagunas en los sistemas operativos de su cadena, patrocinará un entorno más seguro para los protocolos y puentes de Blockchain, ya que varios puentes han sido presa de estafas este año.

Wormhole e Immunefi

Wormhole es un sistema de mensajería que enlaza blockchains de alto valor. Sus aplicaciones utilizan la capa de mensajería principal para permitir que los ecosistemas se comuniquen entre sí. Los desarrolladores pueden compartir datos arbitrarios a través de la cadena, incluyendo tokens, NFTs, datos de oráculo, decisiones de gobierno y más, gracias a los 19 guardianes del protocolo. Wormhole está conectado a Ethereum, Binance Smart Chain, Solana, Terra, Oasis, Polygon y Avalanche.

Por otro lado, Immunefi es el programa de recompensas por errores más destacado para contratos inteligentes y proyectos DeFi. En él, los investigadores de seguridad examinan el código, revelan los fallos y hacen que la codificación sea más segura para todos. Las operaciones de Immunefi permiten a los investigadores de seguridad encontrar y exponer posibles vulnerabilidades de contratos inteligentes y aplicaciones y ser recompensados por ello y, en el proceso, proteger los proyectos susceptibles de ataques.

Fuente: Immunuefi

La causa del fallo

Según una entrada de blog publicada por Immunefi, la vulnerabilidad del agujero de gusano surgió después de que la incorporación para un proxy Common Upgradeable Proxy Normal (UUPS) "se desinicializara después de que una corrección de errores anterior hubiera devuelto la inicialización única, lo que significaba que un atacante podía mover su propio conjunto de Guardianes y proceder a la actualización como un Guardián que ellos manejaban".

Además, según una prueba de concepto (PoC) publicada en GitHub por Immunefi, un atacante que aprovechara la vulnerabilidad "podría haber pedido un rescate por todo el sistema con la amenaza de que el puente de Ethereum Wormhole pudiera quedar bloqueado, y todos los activos existentes en ese contrato perdidos indefinidamente."

El PoC también declaró que "en el momento de la presentación, 736 millones de dólares en activos residían dentro del contrato."

Según Immunefi, no se perdieron activos de los usuarios antes de que se encontrara la vulnerabilidad, ya que Wormhole pudo responder rápidamente, verificando y resolviendo el problema el mismo día (24 de febrero) en que satya0x lo reportó.

El hacker de sombrero blanco y el programa de recompensas

Fuente: Twitter

El programa de recompensas por errores de Wormhole añade una capa adicional de protección para los usuarios y demuestra su compromiso a largo plazo para hacer que el protocolo Wormhole y el ecosistema DeFi sean más seguros.

El programa se enfoca en prevenir exploits que provoquen el bloqueo, la pérdida o el robo de fondos de los usuarios, la falsificación de datos no verificados, la manipulación de la gobernanza, la exposición de claves privadas, la ejecución remota de código, etc.

Las recompensas del programa wormhole bug bounty se basan en el sistema de clasificación de la gravedad de las vulnerabilidades de Immunefi. Por tanto, los premios se distribuyen en función del efecto de la vulnerabilidad. Detectar un fallo de contrato inteligente de nivel "bajo", como un hacker de sombrero blanco o un especialista en seguridad, por ejemplo, puede hacerte ganar hasta 2.500 dólares, mientras que uno "crítico" puede hacerte ganar hasta 10 millones de dólares - como Satya0x.

Satya0x afirmó en un comunicado publicado por la plataforma de criptomonedas que los problemas de seguridad de la blockchain constituyen una "amenaza existencial" para el futuro de la red.

"Estoy orgulloso de haber desempeñado un papel en la mitigación de una grave vulnerabilidad y una amenaza sistémica para el ecosistema", dijo satya0x

Además, comentó en un comunicado según el Bloque que Nos arriesgamos a permitir el resurgimiento de las mismas estructuras de poder que buscamos destruir si no reconocemos y reducimos agresivamente el riesgo sistémico; si no proporcionamos la transparencia y las herramientas necesarias para que los usuarios tomen decisiones informadas; si seguimos condenando los simples errores mientras alabamos el Valor Total Perdido como única medida de éxito.

Conclusión

Wormhole cree que este programa de recompensas por errores y otras iniciativas similares mantendrían el ecosistema de Blockchain protegido de hackeos y violaciones de seguridad. También es una forma de animar a los sombreros blancos a revelar vulnerabilidades de seguridad y a ser más competentes en la tarea, ya que se establece que serían recompensados.

Autor: Gate.io Observador: M. Olatunji. Traductor. Jose E.

*Este artículo representa únicamente las opiniones de los observadores y no constituye ninguna sugerencia de inversión.

*Gate.io se reserva todos los derechos de este artículo. Se permitirá la reproducción del artículo siempre que se haga referencia a Gate.io. En todos los demás casos, se emprenderán acciones legales por infracción de los derechos de autor.