Ataques maliciosos a contratos inteligentes que los auditores pueden identificar fácilmente

Con muchas empresas que adoptan la tecnología blockchain y los contratos inteligentes, ofrecer auditorías de seguridad confiables en la industria se ha vuelto cada vez más importante.

Las empresas pueden proteger sus activos y contratos al reconocer y prevenir ataques dañinos.

Esta publicación de blog explorará los diferentes ataques que un grupo de delincuentes puede llevar a cabo en contratos inteligentes. También analizaremos instancias de ataques del mundo real para ayudarlo a asegurar sus contratos.

¿Qué son los contratos inteligentes? Comprender los beneficios de esta tecnología

Qué son contratos inteligentes? Son contratos digitales que cualquier persona puede utilizar para facilitar, verificar o hacer cumplir la negociación o ejecución de un acuerdo. Puede usar contratos inteligentes para varios propósitos, como administrar información, derechos de propiedad y transacciones financieras.

Nick Szabo propuso por primera vez los contratos inteligentes en 1996. Un contrato inteligente es «un mecanismo de transacción computarizado que ejecuta las disposiciones de un contrato», según su definición. Szabo diseñó contratos inteligentes para brindar mayor seguridad que los contratos tradicionales y reducir los costos de contratación.

Desde entonces, muchos investigadores y desarrolladores han desarrollado y refinado aún más el concepto de contratos inteligentes.

Ethereum, una plataforma descentralizada que ejecuta contratos inteligentes, se lanzó en 2015. Ethereum ha creado varias aplicaciones descentralizadas, como intercambios descentralizados, juegos y mercados de predicción.

El uso de contratos inteligentes puede tener algunos beneficios. Primero, pueden automatizar la ejecución de contratos. Esto puede ahorrar tiempo y dinero al eliminar la necesidad de intermediarios, como abogados o bancos.

En segundo lugar, los contratos inteligentes pueden brindar mayor seguridad que los contratos tradicionales. Pueden cumplir el propósito de crear registros de transacciones a prueba de manipulaciones y hacer cumplir los contratos.

Finalmente, los contratos inteligentes pueden facilitar el uso de aplicaciones descentralizadas. Al implementar estas aplicaciones en una cadena de bloques, los desarrolladores pueden crear sistemas sin confianza que ninguna entidad puede controlar.

Los tipos de ataques que pueden tener como objetivo los contratos inteligentes

Podemos identificar al menos cinco tipos de ataques maliciosos que los delincuentes pueden realizar sobre los Smart Contracts:

1. Manipulación del código
2. Ataques DoS
3. ataques DDoS
4. ataques de sibila
5. Ataques de repetición

Las subsecciones a continuación analizan con mayor detalle cada uno de estos ataques típicos.

Manipulación de código

Cuando se trata de contratos inteligentes, el código es el rey. Por lo tanto, no debería sorprender que un tipo de ataque que los piratas informáticos puedan llevar a cabo sea la manipulación del código. Aquí es donde alguien ingresa al código y realiza cambios, agrega funcionalidad maliciosa o elimina las medidas de seguridad existentes.

Algunos tipos comunes de ataques que pueden ocurrir a través de la manipulación del código incluyen:

• Agregar código malicioso que permite al atacante robar fondos del contrato
• Agregar código que permita al atacante controlar o modificar el comportamiento del contrato
• Eliminar las medidas de seguridad que impiden el acceso no autorizado a los fondos o datos del contrato
• Insertar errores que hacen que el contrato funcione mal o falle

Estos ataques pueden ser difíciles de detectar, especialmente si el atacante es hábil para ocultar sus huellas. Sin embargo, hay algunas señales reveladoras que un auditor puede buscar para indicar que alguien recortó un contrato.

Algunos de los indicadores más comunes de manipulación de código incluyen:

• Código que alguien modificó o agregó que no es consistente con el resto del código del contrato
• Comportamiento inusual o inesperado en la ejecución del contrato
• Código faltante o comentado que estaba previamente presente

Si un auditor sospecha que alguien manipuló un contrato, puede confirmar sus sospechas realizando una revisión del código. Esto implica examinar de cerca el código del contrato para buscar cambios o comportamientos sospechosos.

Ataques DoS

Los ataques DoS (denegación de servicio) son un fenómeno común en el mundo en línea. En un ataque DoS, el atacante inunda el sistema con solicitudes para evitar que los usuarios legales accedan al contrato. Pueden ocurrir tanto en el mundo Web2 como en el Web3.

Algunas formas de proteger su contrato inteligente de los ataques DoS incluyen:

• Requerir un cierto número de confirmaciones para transacciones
• Limitar el número de transacciones que el sistema puede procesar a la vez
• Usar un oráculo para monitorear la red en busca de ataques y cerrar el contrato si es necesario

Si cree que su contrato puede estar bajo ataque, comuníquese con un auditor profesional lo antes posible. Algunos auditores populares en este campo son Prueba solida, OpenZeppeliny Certik. Ellos pueden ayudarlo a decidir si está ocurriendo un ataque y qué hacer.

Ataque DDoS

Varias computadoras inundan un objetivo con tráfico o solicitudes en un ataque DDoS. Esto puede sobrecargar el objetivo y provocar que se bloquee o no esté disponible.

Los ataques DDoS a menudo permiten que los delincuentes eliminen los servicios en línea, pero también pueden ser efectivos contra los contratos inteligentes.

Hay varias formas de protegerse contra los ataques DDoS, pero la más importante es tener un buen plan de seguridad. Esto incluye tener contraseñas seguras, cortafuegos y sistemas de detección de intrusos.

También debe monitorear su red en busca de comportamientos inusuales y preparar un plan de respaldo.

Si sospecha un ataque DDoS, llame a sus auditores de inmediato. Lo ayudarán a evaluar si el asalto fue efectivo y evitar que se repita.

Ataques de sibila

Un tipo común de ataque a los contratos inteligentes es el ataque Sybil. En un ataque de Sybil, el atacante crea múltiples identidades para obtener el control de un sistema. Los delincuentes pueden hacer esto creando múltiples cuentas, por ejemplo.

El atacante puede acceder a más recursos o información o incluso apoderarse del sistema por completo.

Los auditores deben conocer estos ataques y saber cómo detectarlos. Una forma de hacerlo es buscando patrones en la actividad de los participantes en el sistema.

Si hay picos repentinos en la actividad de las cuentas nuevas, esto podría ser una señal de un ataque de Sybil. Los auditores también pueden utilizar otros métodos, como el análisis de redes, para identificar actividades sospechosas.

Si se sospecha de un ataque de Sybil, es fundamental tomar medidas para proteger el sistema. Esto puede implicar cambiar las medidas de seguridad o aumentar el seguimiento de la actividad de los participantes. En algunos casos, puede ser necesario desconectar temporalmente el sistema para realizar cambios.

Ataque de repetición

A ataque de repetición es un tipo de ataque que un hacker puede realizar contra Smart Contracts. Un atacante captura una transacción y la reproduce más tarde para engañar al sistema para que la procese nuevamente.

Los piratas informáticos pueden lograr esto alterando o transmitiendo la transacción original muchas veces.

Una forma de protegerse contra los ataques de repetición es usar un identificador único para cada transacción. Puede incluir una marca de tiempo o un número aleatorio en los datos de la transacción.

Use un libro mayor a prueba de manipulaciones para almacenar todas las transacciones del sistema para evitar ataques de repetición.

¿Cómo pueden los auditores identificar estos ataques?

Durante una consulta, los auditores de contratos inteligentes pueden detectar todos los ataques mencionados anteriormente. Pueden reconocer el código de contrato inteligente modificado o las debilidades del sistema que los delincuentes pueden explotar.

Además, los auditores pueden ayudarlo a determinar los riesgos asociados con su contrato inteligente. También pueden proporcionar consejos sobre cómo reducir esos riesgos. Contratar a un auditor profesional es una de las mejores formas de proteger su contrato inteligente de ataques maliciosos.

Los ataques de repetición también son fáciles de detectar desde el punto de vista de un auditor profesional. Si alguien ha estado tratando de actualizar el historial de su contrato inteligente, es posible que esté intentando repetir el asalto.

Los auditores pueden descubrir un ataque de Sybil contando las direcciones que interactúan con su contrato inteligente. Si hay demasiadas direcciones, es probable que alguien esté intentando usar esta operación maliciosa.

Ejemplos de ataques del mundo real a contratos inteligentes

En la red Ethereum, muchos ataques de alto perfil a contratos inteligentes han causado pérdidas financieras sustanciales a usuarios e inversores.

El asalto más famoso es el DAO incumplimiento, en el que un hacker robó más de $ 50 millones en $ETH. Los delincuentes pudieron lograr este resultado al explotar un agujero en el diseño del contrato inteligente.

Otros ataques notables incluyen el pirateo de Parity Wallet, en el que un pirata informático robó Ether por valor de más de $ 30 millones. Además, debemos mencionar el hackeo de la ICO de Enigma, en el que un hacker robó más de $500,000 en tokens de Enigma.

Muchos ataques adicionales a contratos inteligentes menos conocidos han atraído menos atención.

Uno de esos ataques es el hack de Compound Finance. En este caso, un hacker explotó una falla en el contrato inteligente de Compound Finance. El resultado fue la acuñación de más de $80 millones en tokens COMP.

Un hacker explotó una debilidad en el protocolo bZx para generar $55 millones en tokens BZRX.

Estos son solo algunos ejemplos de los muchos ataques a los contratos inteligentes. Si bien los medios de comunicación publicitaron algunos de estos ataques, otros no han recibido tanta atención.

Si bien los ataques recientes han aumentado el escrutinio de los contratos inteligentes, los actores sin escrúpulos aún pueden explotar varias debilidades.

Conclusión: la importancia de contratar auditores de contratos inteligentes

Los auditores de Smart Contract pueden identificar todos los ataques mencionados anteriormente durante una investigación. Pueden reconocer el código de Smart Contract modificado o fallas del sistema que los piratas informáticos pueden explotar.

Además, los auditores pueden ayudarlo a evaluar el riesgo de su contrato inteligente y ofrecer sugerencias para mitigar esos riesgos. Contratar a un auditor competente es una técnica para proteger su contrato inteligente de las amenazas.