Poco después de que Thirdweb revelara una vulnerabilidad de seguridad que podría afectar a una variedad de contratos inteligentes comunes utilizados en todo el ecosistema Web3, OpenZeppelin identificó dos estándares específicos como la causa raíz de la amenaza.
El 4 de diciembre, Thirdweb informó de una vulnerabilidad en una biblioteca de código abierto de uso común, que podría afectar a los contratos pre-construidos, incluyendo DropERC20, ERC-721, ERC-1155 (todas las versiones) y AirdropERC20.
IMPORTANT
— thirdweb (@thirdweb) December 5, 2023
On November 20th, 2023 6pm PST, we became aware of a security vulnerability in a commonly used open-source library in the web3 industry.
This impacts a variety of smart contracts across the web3 ecosystem, including some of thirdweb’s pre-built smart contracts.…
IMPORTANTE
El 20 de noviembre de 2023 6pm PST, nos dimos cuenta de una vulnerabilidad de seguridad en una biblioteca de código abierto de uso común en la industria web3.
Esto afecta a una variedad de contratos inteligentes en todo el ecosistema web3, incluyendo algunos de los contratos inteligentes pre-construidos de thirdweb...
En respuesta, la plataforma de desarrollo de contratos inteligentes OpenZepplin y los mercados de tokens no fungibles Coinbase NFT y OpenSea informaron proactivamente a los usuarios sobre la amenaza. Tras una investigación más exhaustiva, OpenZepplin descubrió que la vulnerabilidad se deriva de "una integración problemática de dos estándares específicos": ERC-2771 y Multicall".
La vulnerabilidad del contrato inteligente en cuestión surge tras la integración de los estándares ERC-2771 y Multicall. OpenZepplin identificó 13 conjuntos de contratos inteligentes vulnerables, como se muestra a continuación. Sin embargo, se aconseja a los proveedores de servicios cripto que aborden el problema antes de que malos actores encuentren la forma de explotar la vulnerabilidad.

La investigación de OpenZepplin descubrió que el estándar ERC-2771 permite anular ciertas funciones de llamada. Esto podría aprovecharse para extraer la información de la dirección del remitente y falsificar llamadas en su nombre.

OpenZepplin aconsejó a la comunidad Web3 que utiliza las integraciones mencionadas que utilice un método de 4 pasos para garantizar la seguridad: desactivar todos los remitentes de confianza, pausar el contrato y revocar las aprobaciones, preparar una actualización y evaluar las opciones de instantáneas.
IMPORTANT
— thirdweb (@thirdweb) December 5, 2023
On November 20th, 2023 6pm PST, we became aware of a security vulnerability in a commonly used open-source library in the web3 industry.
This impacts a variety of smart contracts across the web3 ecosystem, including some of thirdweb’s pre-built smart contracts.…
Además, Thirdweb lanzó una herramienta de mitigación que permite a los usuarios conectar sus billeteras e identificar si un contrato es vulnerable.
Today the @OpenZeppelin team disclosed details about the @thirdweb vulnerabilities to our team. We've identified a few functions in the Relay contracts that could be griefed. As such, we are deactivating Relay until the necessary adjustments can be made.
— Velodrome (@VelodromeFi) December 8, 2023
To be absolutely clear,…
Hoy el equipo de @OpenZeppelin ha revelado detalles sobre las vulnerabilidades de @thirdweb a nuestro equipo. Hemos identificado algunas funciones en los contratos Relay que podrían ser vulneradas. Como tal, estamos desactivando Relay hasta que se puedan hacer los ajustes necesarios.
Para que quede absolutamente claro,...
La plataforma de finanzas descentralizadas Velodrome también desactivó sus servicios de retransmisión hasta que se instale una nueva versión.
En un artículo reciente de Cointelegraph Magazine, los expertos revelaron cómo la inteligencia artificial (IA) puede ayudar a auditar los contratos inteligentes y ayudar a los esfuerzos de ciberseguridad.
gm ☕️
— SV (@0xSMV) March 16, 2023
As someone with zero Solidity proficiency, I had an already efficient smart contract tailored to my own needs by AI.
I dumped @Azuki's smart contract into GPT-4 and had it ask me relevant questions.
Disclaimer: Professional human audits and devs are still important to… pic.twitter.com/K4UGfFC5dp
¡Buenos días! ☕️
Como alguien con cero conocimientos de Solidity, tenía un contrato inteligente ya eficiente adaptado a mis propias necesidades por la IA.
Volqué el contrato inteligente de @Azuki en GPT-4 e hice que me hiciera preguntas relevantes.
Descargo de responsabilidad: Las auditorías y los desarrolladores humanos profesionales siguen siendo importantes para...
James Edwards, el mantenedor principal del investigador de ciberseguridad Librehash, dijo que si bien los chatbots de IA pueden desarrollar contratos inteligentes, implementarlos en un entorno en vivo es arriesgado.
Por otro lado, Edwards destacó el potencial de la tecnología para investigar contratos inteligentes. Pruebas recientes demostraron la capacidad de la IA para "auditar contratos con una precisión sin precedentes que supera con creces lo que cabría esperar y recibir de GPT-4"
Aunque admite que todavía no es tan buena como un auditor humano, ya puede hacer una primera pasada sólida para acelerar el trabajo del auditor y hacerlo más exhaustivo.
Aclaración: La información y/u opiniones emitidas en este artículo no representan necesariamente los puntos de vista o la línea editorial de Cointelegraph. La información aquí expuesta no debe ser tomada como consejo financiero o recomendación de inversión. Toda inversión y movimiento comercial implican riesgos y es responsabilidad de cada persona hacer su debida investigación antes de tomar una decisión de inversión.