La firma de seguridad blockchain SlowMist ha arrojado luz sobre ciertas vulnerabilidades de seguridad en exchanges centralizados y cómo los hackers las usan para realizar ataques de depósitos falsos.
Si bien la tecnología blockchain se encuentra en sus primeras etapas, los hackers están desarrollando técnicas sofisticadas para robar fondos de proyectos y usuarios.
¿Cómo los exchanges depositan fondos en los monederos de los usuarios?
Cuando se realiza un depósito en un exchange centralizado de criptomonedas, hay varios pasos antes de que el monto se acredite en la dirección de los usuarios.
La siguiente infografía muestra esos pasos, comenzando con una solicitud de depósito y la generación de un monedero único para el usuario.
Sin embargo, los hackers están engañando al proceso al enviar transacciones falsificadas que el exchange identifica como depósitos genuinos. SlowMist compartió un ejemplo de “TON Bounce-back False Top-up”.
Estudio de caso de ataque de depósito falso en TON
Los piratas informáticos han explotado las vulnerabilidades en la transacción para depositar Toncoin (TON), un proyecto de la plataforma de mensajería Telegram.
La siguiente captura de pantalla muestra una transacción utilizando la interfaz RPC. Generalmente, los exchanges centralizados verificarán si la dirección de depósito de los usuarios se menciona en el “destino” de la propiedad “in_msg”.
Sin embargo, si los exchanges no notan la propiedad “out_msgs”, podrían acreditar fondos en las cuentas de los usuarios sin recibir el depósito. En términos sencillos, la propiedad “out_msg” reembolsaría los fondos a su cuenta de origen.
SlowMist también ha compartido las mejores prácticas para evitar ataques de depósitos falsos:
- Mecanismo de confirmación múltiple para evitar caer en la trampa de un ataque de depósito falso.
- Coincidencia rigurosa de transacciones para garantizar que la transacción coincida con el patrón de transacción normal.
- Un sistema de control de riesgos que podría detectar transacciones maliciosas.
- Revisión manual para depósitos más grandes y para disminuir la confiabilidad del sistema.
- Mejora de la seguridad de la API para evitar que los malos accedan al sistema
- Restricciones temporales de retiro después de que el monedero de un usuario recibe un depósito.
- Actualizaciones periódicas de seguridad para corregir las vulnerabilidades, si las hubiera.
¿Tiene algo que decir sobre el ataque de depósito falso o cualquier otro tema? Escríbanos o únase a la discusión en nuestro canal de Telegram. También puede encontrarnos en Facebook o X (Twitter).
Descargo de responsabilidad
Descargo de responsabilidad: en cumplimiento de las pautas de Trust Project, BeInCrypto se compromete a brindar informes imparciales y transparentes. Este artículo de noticias tiene como objetivo proporcionar información precisa y oportuna. Sin embargo, se recomienda a los lectores que verifiquen los hechos de forma independiente y consulten con un profesional antes de tomar cualquier decisión basada en este contenido.
