Alrededor de $20 millones en Ethereum han sido robados por un grupo de hackers informáticos, que explotan clientes mal configurados de Ethereum, según un artículo de Bleeping Computer publicado el 11 de junio.

Los hackers pudieron acceder a las aplicaciones que utilizan el software Ethereum que configuraron su interfaz para exponer una Llamada de Procedimiento Remoto (RPC, por sus siglas en inglés). La interfaz RPC permite a terceros consultar, interactuar y recuperar datos del servicio basado en Ethereum, lo que significa que aquellos con acceso pueden obtener claves privadas, ver la información personal del propietario e incluso mover fondos.

Si bien la mayoría de las aplicaciones desactivan esta interfaz de forma predeterminada, e incluso cuando está activada, generalmente está configurada para permitir solo el acceso a las aplicaciones que se ejecutan localmente. Sin embargo, los desarrolladores no siempre conservan esta configuración y, a veces, reconfiguran a sus clientes de Ethereum sin conocer el peligro.

El proyecto Ethereum sabe desde hace mucho tiempo sobre el potencial para explotar esta vulnerabilidad y envió un aviso de seguridad oficial como advertencia a sus usuarios en agosto del 2015, indicando que la probabilidad de un ataque era baja, pero que su gravedad potencial era alta.

Según Bleeping Computer, la firma de seguridad cibernética china Qihoo 360 Netlab identificó en marzo que al menos un "actor de amenazas" realizaba escaneos masivos para el software expuesto Ethereum con interfaces RPC específicamente en el puerto 8545. En ese momento, 360 Netlab dijo en un tweet que, "hasta ahora solo tiene 3,96234 Ether [~ $2 000- $3 000] en su cuenta, pero ¡oigan, es dinero gratis!"

El 11 de junio, después de revisar la investigación nuevamente, el equipo de Netlab dijo que los escaneos para el puerto 8545 nunca se detenían, sino que aumentaban a medida que se unían más "actores amenazantes". La cifra actual de Ether sifonado es 38 642,7 ($18,1 millones).

Hasta el momento de la publicación, ni el equipo de Ethereum ni el cofundador Vitalik Buterin respondieron a una solicitud de comentarios.