El protocolo 402bridge ha sido víctima de un importante incidente de seguridad, que ha resultado en la pérdida de más de 17.000 USDC. La brecha, que ocurrió el 27 de octubre, comprometió más de una docena de las billeteras del equipo debido a una fuga de clave privada. Este evento pone de relieve los continuos desafíos de seguridad dentro del ecosistema de puentes entre cadenas.
Puntos Clave
-
Monto de la Pérdida: Se robaron más de 17.693 USDC.
-
Causa: Una fuga de clave privada llevó al compromiso de múltiples billeteras y un contrato inteligente.
-
Vector de Ataque: Un atacante explotó una vulnerabilidad de "autorización excesiva", cambiando el propietario del contrato inteligente y transfiriendo fondos de usuarios.
-
Acciones del Atacante: Los USDC robados se convirtieron en 4.2 ETH y se movieron a la red Arbitrum.
-
Recomendaciones: Se aconseja a los usuarios revocar la autorización para el contrato inteligente comprometido.
-
Investigación: Se ha notificado a las fuerzas del orden y se está llevando a cabo una investigación interna.
El Incidente se Desarrolla
El 27 de octubre, un hacker desconocido atacó el protocolo de cadena cruzada 402bridge, robando con éxito aproximadamente 17.693 USDC. La brecha se atribuyó a una fuga de una clave privada, que posteriormente comprometió más de una docena de las billeteras de prueba y principales del equipo. Expertos en seguridad de GoPlus identificaron la causa raíz como "autorización excesiva" antes de la emisión de monedas. El atacante logró cambiar el propietario del contrato inteligente comprometido y utilizó el método transferUserToken para distribuir el exceso de USDC a más de 200 billeteras de usuarios. Después de esto, el atacante desvió las stablecoins, las convirtió en 4.2 ETH y transfirió los fondos a la red Arbitrum.
Comprendiendo la Vulnerabilidad
El mecanismo del protocolo 402bridge requiere que los usuarios firmen o aprueben transacciones a través de una interfaz web, que luego se envían a un servidor interno. Este servidor extrae los fondos y acuña las monedas. El equipo de 402bridge explicó que para facilitar este proceso, la clave privada debe almacenarse en el servidor, haciéndola accesible en línea. Una fuga de esta clave podría otorgar a un atacante privilegios administrativos, permitiéndole redirigir los fondos de los usuarios y ejecutar dicho ataque.
Implicaciones Más Amplias y Debate en la Industria
Este incidente marca el primer robo público de fondos asociado con el protocolo x402, una herramienta de pago en línea diseñada para transacciones de stablecoins y que permite acuerdos autónomos para agentes de IA. El ataque también se produce en medio de un debate más amplio sobre la seguridad de las soluciones de escalado de Capa 2 (L2). Poco antes del incidente de 402bridge, surgió una disputa entre el investigador de criptomonedas Gabriel Shapiro y el cofundador de Solana, Anatoly Yakovenko, sobre la seguridad de L2. Yakovenko argumentó que las L2 actuales son vulnerables debido a multisigs con permisos que pueden alterar los contratos de puente sin notificación al usuario, contrastando esto con los validadores de Solana. Shapiro respondió que las L2 como ZKsync tienen salvaguardias legales y de gobernanza, aunque Yakovenko mantuvo que las construcciones legales no eliminan los riesgos técnicos. Expertos de Global Ledger han identificado previamente los puentes entre cadenas como una herramienta principal para que los hackers laven fondos robados, enfatizando la velocidad de retiro de fondos post-hackeo como un problema importante en la industria.
Fuentes
-
Una vulneración de 402bridge provocó pérdidas de USDC para más de 200 usuarios, Blockchain News
-
Se perdieron 17 000 USD en una fuga de clave privada al explotar 402Bridge durante la tendencia x402, Intellectia
-
Se explotó 402Bridge por 17 000 USD en una fuga de clave privada durante la tendencia x402, The Crypto Times
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.