Desde hace más de dos semanas, la red de Iota ha estado caída, y los poseedores de tokens MIOTA no han podido facilitar ninguna transacción desde el 12 de febrero. Esto se debe a que un hacker fue capaz de robar más de 2 millones de dólares desde las billeteras nativas de Iota,  Trinity, causando que el proyecto perdiera alrededor del 40% de su valor - que se ha dicho que vale casi 400 millones de dólares - desde que la red fue apagada.

La Iota Foundation ha minimizado la gravedad del ataque, pero varios indicadores sugieren que se han comprometido muchas más carteras de las que la Iota Foundation ha anunciado hasta ahora. Y mientras que los fondos pueden haber sido robados sólo de un número limitado de carteras, la vulnerabilidad en cuestión ha existido probablemente durante un largo período de tiempo. También es muy posible que el hacker haya podido obtener las seeds (semillas) de las carteras de todos los que usaron la cartera versión de escritorio de Trinity mientras la vulnerabilidad estaba activa.

En respuesta, Cara Harbor, directora de comunicaciones de la Iota Foundation, dijo a Cointelegraph que la empresa se está tomando este incidente muy en serio y que un equipo dedicado está trabajando las 24 horas del día para identificar el problema y encontrar una solución lo antes posible. Añadió:

"La vulnerabilidad en cuestión sólo estaba dentro de la cartera de escritorio de Trinity y fue causada por la integración de Moonpay. No hay ninguna vulnerabilidad en la propia Iota o en el protocolo. Aunque es un evento desafortunado, las acciones de la Iota Foundation muestran que nos tomamos en serio el proyecto y sus usuarios".

¿Cómo ha sido?

Para entender mejor la situación, Cointelegraph habló con Casper Niebe, un desarrollador de Obyte, una plataforma de gráficos acíclicos dirigidos, que cree que la línea de tiempo para el hackeo probablemente se veía así:

En primer lugar, cuando el plugin MoonPay se incluyó por primera vez en la versión beta de Trinity, no se detectó ninguna falla. El plugin se incluyó entonces en la versión no beta, permitiendo al hacker empezar a recoger las palabras semillas de aquellos que usaban la cartera comprometida.

Entonces, la gente de MoonPay notó que algo estaba mal y apagó su clave API, pero no notificaron a la Iota Foundation. En este punto, el hacker comenzó a vaciar las carteras con grandes balances usando las semillas de las carteras que había recolectado mientras las carteras estaban expuestas. Iota se dio cuenta y apagó el coordinador, lo que impidió que se confirmara cualquier otra transacción.

Según Niebe, el atacante fue capaz de inyectar su propio código en el plugin de MoonPay. El código malicioso probablemente tomó semillas de billeteras de la plataforma y las envió al atacante.

Además, el plugin de MoonPay incluía una biblioteca de un operador externo - y en lugar de esperar a una versión que hubiera permitido a los desarrolladores de la cartera de Trinity saber exactamente con qué estaban trabajando, la integración/liberación del plugin se precipitó, según una publicación del blog de IOTA

Por lo tanto, debido a que el exploit probablemente estuvo activo durante un período prolongado de tiempo, el atacante pudo obtener muchas más semillas de billeteras que las realmente utilizadas para robar los tokens.

Al expresar sus opiniones sobre el tema, Harbor declaró que el suceso mencionado ha demostrado al equipo de Iota que debe tomarse muy en serio su seguridad, especialmente en lo que respecta a proveedores externos. También opinó:

"Nos tomamos este incidente de ataque muy en serio y no hemos minimizado el efecto que ha tenido en nuestra comunidad de ninguna manera. Las acciones y la transparencia que ha tomado la Iota Foundation es un testimonio de ello".

El robo parece haber sido bastante sofisticado en el diseño

Se cree que la infracción mencionada requería que el malhechor poseyera cierta destreza técnica en la escritura del código, ya que el ataque no era de naturaleza trivial. A este respecto, la Iota Foundation detectó varias iteraciones del código inyectado durante su investigación, que básicamente sugirieron que el hacker empleó un modo de operación de "ensayo y error".

Desde un punto de vista más técnico, las pruebas parecen indicar que el hacker comenzó a robar manualmente tokens de las carteras comprometidas después de que la vulnerabilidad fuera parcheada por MoonPay. El malhechor movió fondos de un número muy limitado de carteras a través de varias otras carteras.

Cada vez que la cantidad robada pasaba por una cartera, 28 GigaIOTA (es decir, 28.000 tokens MIOTA), con un valor aproximado de 9.000 dólares en ese momento, se dejaba en cada cartera. Esta cantidad fue elegida probablemente porque era lo suficientemente pequeña para escapar de las medidas de seguridad automáticas de los exchanges. Pero la velocidad a la que se transferían los fondos de una cartera a la siguiente variaba entre 10 y 20 minutos. Si las transacciones se hubieran realizado mediante una secuencia de comandos automatizados escritos por el atacante, todo el proceso podría haberse completado mucho más rápido y definitivamente con menos intervalos variables entre las transferencias. Niebe señaló:

"Un indicio importante de que los fondos robados han sido movidos manualmente es la cantidad de 28 GigaIOTA que queda en cada cartera por la que ha pasado. Destacan dos de las transacciones de la "cadena" de transacciones que reparten los fondos robados en varias carteras. Una es de 2,8 GigaIOTA, lo que indica que la cantidad fue ingresada con un dígito '0' faltante. Otra transacción era de sólo 2 GigaIOTA, lo que indica que les faltaba el dígito '8' al ingresar el monto. Esos errores no se habrían producido si las transferencias se hubieran hecho con una secuencia de comandos ".

Si bien estos tecnicismos son sólo indicadores, parecen apuntar a un escenario en el que la vulnerabilidad real fue descubierta y explotada por un atacante, que luego vendió las semillas de las carteras que contenían el mayor número de tokens a alguien con mucho menos conocimientos técnicos.

Las dos transacciones anormales - de 2,8 GigaIOTA y 2 GigaIOTA - pueden verse en el explorador de la red.

El nodo "coordinador" de Tangle sigue en espera después del ataque

Iota actualmente funciona en su propia red dedicada, Tangle. Sin embargo, su nodo "coordinador" - que está diseñado para prevenir ataques - está actualmente en espera después de la reciente violación. El coordinador también puede ser pensado como un enorme interruptor centralizado de encendido y apagado, que fue apagado para salvar a la red de daños adicionales. Se ha confirmado que el nodo se reactivará el 10 de marzo, después de que los titulares de los tokens MIOTA tomen las medidas necesarias para proteger sus carteras instalando la última herramienta de migración de las semillas de la empresa.

Si bien la Iota Foundation ha sido criticada duramente en línea por haber apagado toda la red, el hecho de que ya se hayan robado tokens por un valor de 2 millones de dólares significa que tal medida era posiblemente necesaria. Proporcionando sus ideas sobre el asunto, Daniel Hernández Rodríguez, cofundador y director general de HASHWallet, dijo a Cointelegraph que el asunto en cuestión no está totalmente relacionado con las carteras Iota en cuestión, sino que también está relacionado con los generadores en línea asociados a ellas, añadiendo:

"Todo sistema de software que genera semillas puede ser craqueado. Las semillas deben ser generadas y almacenadas en un sistema aislado para que nadie tenga acceso a ellas ni al sistema de generación si no es un sistema TRNG (True Random Number Generation)".

En cuanto al ataque y la magnitud de los daños causados, Harbor declaró que como el equipo de Iota no estaba seguro de la gravedad del ataque, es decir, de cuántas semillas se habían robado de las carteras de Trinity a través de la vulnerabilidad, la empresa tomó la difícil decisión de detener al coordinador para evitar que el atacante extrajera más tokens. Harbor añadió entonces:

"Las personas menos familiarizadas con Iota han interpretado erróneamente el hecho de que Iota tenga actualmente el coordinador, como un indicador de que la red no está descentralizada. En la actualidad, la red de Iota está descentralizada con varios cientos de nodos que emiten y validan transacciones. El proceso de confirmación se basa en hitos que son emitidos por el coordinador y validados por toda la red; en otras palabras, la finalidad de las transacciones, de hecho, depende de este componente centralizado. Sin embargo, todos los nodos verifican todas las transacciones y no aceptarían ninguna "mala acción" (como la aprobación de transacciones no válidas, gastos dobles, etc.) del coordinador".

Por último, Harbor también señaló que algunos no han comprendido que la tecnología de libro de contabilidad distribuido es todavía bastante nueva y, como ocurre con cualquier oferta de este tipo, se necesita algún tiempo para que alcance su plena madurez.

Muchos detalles importantes son todavía cuestionables

Aunque hay claros indicadores que sugieren que un gran número de semillas de las carteras fueron robadas cuando la explotación de MoonPay estaba activa, no hay forma de determinar qué semillas fueron robadas y cuáles no.

Lo único cierto en este momento es que los usuarios que usaron la versión de escritorio de la billetera Trinity corrieron el riesgo de que les robaran las semillas de la billetera. Esta es la razón por la que la Iota Foundation ha pedido a sus clientes que utilicen rápidamente la última herramienta de migración de la empresa.

Además, no es la primera vez que el ecosistema Iota ha sido objeto de una violación de seguridad de este tipo. Hace unos años, la plataforma se enfrentó a otra grave vulnerabilidad relacionada con sus protocolos criptográficos nativos. En una conversación con Cointelegraph, Inal Kardanov, un desarrollador defensor de la Plataforma Waves, un ecosistema Blockchain de código abierto, señaló lo siguiente:

"Una segunda vulnerabilidad grave en tres años parece muy peligrosa para los poseedores y especialmente para los desarrolladores. Por lo tanto, personalmente espero que muchos desarrolladores eviten construir productos en Iota en el futuro, a pesar de todos los esfuerzos del equipo de Iota para mitigar el problema".

¿El futuro se ve sombrío para Iota?

Como se mencionó anteriormente, desde que este último fallo de seguridad salió a la luz, Iota ha perdido un poco más del 40% de su valor, y sigue sin estar claro qué pasará con el precio de el token una vez que la red se reactive el 10 de marzo.

MIOTA/USD price chart since Feb. 11. Source: Coin360.com

Gráfico de precios de MIOTA/USD desde el 11 de febrero. Fuente: Coin360.com

Además, la Iota Foundation afirma que su protocolo Tangle está todavía en fase de pruebas beta. Sin embargo, esto plantea la pregunta: Si es una red beta, ¿sus tokens serán considerados tokens beta, y sólo serán comercializadas en los exchanges beta por inversores que usan dinero beta? Y si el proyecto está en beta, entonces ¿por qué apresurarse a introducir el plugin MoonPay sin suficiente control sobre si cargaría el código de una fuente externa?

Por último, toda una serie de expertos han argumentado que si el ecosistema de Iota se hubiera descentralizado -incluso en el caso de que la plataforma perdiera 2 millones de dólares como resultado del hackeo- la red podría haberse mantenido encendida, y el problema de la billetera de Trinity podría haberse solucionado probablemente con bastante rapidez.

Así que, un punto de vista es que con una estructura descentralizada, la Iota Foundation podría haber evitado el profundo colapso del mercado al que se enfrenta ahora mismo - que podría tener un impacto aún mayor si los poseedores de los tokens deciden vender sus tokens MIOTA una vez que la red vuelva a estar en línea.

Encontrando un camino seguro

Desde su inicio, el proyecto Iota comenzó con la promesa de utilizar la lógica ternaria (en lugar de la binaria) para hacer que su ecosistema fuera completamente seguro y resistente a los ataques de las computadoras cuánticas. Sin embargo, después de años sin que se hayan hecho progresos tangibles en esa dirección, el concepto parece ahora haber sido desechado, lo que lleva a muchos a creer que la plataforma sigue siendo vulnerable a diversas amenazas externas. Niebe compartió sus ideas al respecto:

"Durante casi tres años se han centrado en encontrar una forma de apagar de forma segura el coordinador, afirmando en un principio que sólo tenía que funcionar hasta que un número suficientemente grande de transacciones pasara por Tangle. Eso también ha resultado no ser cierto. Así que, como algunos usuarios han dicho en broma: "Iota se ha convertido efectivamente en la hoja de cálculo centralizada más cara que existe".

Con respecto a este asunto, Harbor dijo a Cointelegraph que la descentralización progresiva a medida que la red crece y se fortalece es bastante común - señalando a Bitcoin (BTC) como un ejemplo de lo mismo, añadiendo:

"Con la destitución del Coordinador, Iota cumplirá su promesa como la primera tecnología de libro de contabilidad distribuido, descentralizado y escalable disponible. La naturaleza de la sensibilidad de Iota es importante para el futuro de la Internet de las Cosas".

Sigue leyendo: