Los investigadores descubren vulnerabilidades que conducen al comercio predatorio en los populares paquetes acumulativos de criptomonedas Ethereum

Ethereum, una plataforma en línea descentralizada que permite a los usuarios realizar transacciones financieras en la criptomoneda Ether, se enorgullece de la alta seguridad del sistema.

Pero nuevos hallazgos de científicos informáticos de la Universidad Northeastern e investigadores de ETH Zurich, una universidad pública de investigación en Suiza, muestran que podría no ser tan a prueba de balas y que sus usuarios podrían ser susceptibles a las prácticas predatorias de algunos participantes del mercado.

«Existen incentivos monetarios directos», dice Ben Weintraub, estudiante de doctorado del Noreste en la Facultad de Ciencias de la Computación Khoury. «Así que, en mi opinión, es mejor si los investigadores lo encuentran y lo publicitan primero antes de que la gente pierda dinero por error».

Weintraub presentó el documento sobre los hallazgos en la Conferencia anual sobre seguridad informática y de comunicaciones de la Association for Computing Machinery (ACM CCS 2024) celebrada del 14 al 18 de octubre en Salt Lake City. El estudio es disponible en el arXiv servidor de preimpresión.

Él y sus coautores llevaron a cabo un análisis a gran escala de las actividades comerciales de explotación en el propio Ethereum y en los llamados rollups o servicios fuera de la plataforma que permiten un procesamiento más rápido de mayores volúmenes de transacciones.

Los investigadores encontraron evidencia de que ciertos actores pueden manipular el mercado mediante rollups, lo que antes se pensaba que era imposible.

«Se sabía que era posible en Ethereum normal, pero se pensaba que era imposible en paquetes acumulativos y demostramos que no es imposible», dice Weintraub.

El documento presenta tres tipos novedosos de ataques en los que los comerciantes depredadores podrían haber obtenido alrededor de 2 millones de dólares en ganancias en los últimos tres años manipulando transacciones dentro de las redes comerciales de Ethereum.

Ethereum es una red de computadoras independientes en todo el mundo que sigue el protocolo Ethereum: un conjunto de reglas sobre cómo las computadoras de la red global pueden interactuar entre sí. Utiliza la tecnología blockchain, de la que Bitcoin fue pionera.

Una cadena de bloques es una base de datos de transacciones que se comparte entre computadoras en una red. Una vez que se agrega un nuevo bloque, o un nuevo conjunto de transacciones, a la cadena de bloques, nadie ya puede eliminar esos datos, principalmente debido a técnicas criptográficas que resaltan cualquier intento de manipulación.

Cualquiera puede crear una cuenta Ethereum desde cualquier lugar y en cualquier momento. Ninguna autoridad central, como un gobierno o una empresa, tiene control sobre Ethereum, lo que significa que ningún individuo puede cambiar las reglas o restringir el acceso de los usuarios. Cualquier cambio en el protocolo Ethereum requiere la aprobación de más de la mitad de la red.

A diferencia de Bitcoin, que es únicamente un sistema de pago con una criptomoneda del mismo nombre, Ethereum permite a los usuarios crear aplicaciones, comunidades y organizaciones en su plataforma.

Sin embargo, la red Ethereum tiene un problema de escalabilidad: a medida que ha aumentado el número de personas que la utilizan, la cadena de bloques ha alcanzado ciertas limitaciones de rendimiento que inflaron aún más los costos de realizar transacciones en la plataforma.

Una solución son los paquetes acumulativos, como Arbitrum, Optimism y zkSync, que fueron analizados por Weintraub, que tienen como objetivo mejorar la velocidad de Ethereum eliminando lotes de transacciones y cálculos de Ethereum. Esto redujo el coste de procesamiento de una transacción a aproximadamente 1 céntimo, afirma Weintraub.

Algunos actores obtienen ganancias comerciando con criptomonedas tratando de lograr el máximo valor extraíble, afirma, manipulando el orden de las transacciones que están pendientes de inclusión en la cadena de bloques. La investigación proporciona información exclusiva sobre el volumen de transacciones de valor máximo extraíble en rollups, los costos asociados con ellas, las ganancias obtenidas por dichos comerciantes explotadores, la competencia entre ellos y el tiempo de respuesta a tales actividades en Ethereum y los rollups.

Algunos métodos que utilizan los actores maliciosos son comunes en los mercados financieros, como el arbitraje, cuando un usuario compra algo en un intercambio y lo vende rápidamente para obtener ganancias en otro intercambio.

«En general, se piensa que es algo bueno porque mantiene equilibrados los diferentes intercambios en términos de precios», dice Weintraub. «Pero también hay tipos [of maximal extractable value] que no son buenos. Uno que es bastante conocido en la investigación se llama sándwich».

En el sándwich, cuando un especulador ve que alguien está a punto de comprar un activo, lo compra primero, lo que hace subir el precio. El especulador rápidamente lo vende al precio más alto.

El sándwich se considera una estrategia comercial manipuladora y «mala» que afecta el precio que obtienen otros comerciantes. En Ethereum, los productores de bloques (personas o grupos a quienes se les paga cuando su hardware se selecciona aleatoriamente para verificar las transacciones de un bloque) pueden intentar maximizar la cantidad de ganancias que obtienen manipulando cómo se ordenan o incluyen las transacciones en un bloque antes de agregarlo. la cadena de bloques.

«La razón por la que llamamos a esto ataque es porque es puramente perjudicial para la víctima, que ahora tiene que pagar un poco más por su transacción», dice Weintraub. «En términos generales, el sistema no se beneficia en absoluto. Sólo quien se beneficia es el que se beneficia: el ‘sandwicher'».

Si bien los investigadores no encontraron ataques sándwich tradicionales en paquetes acumulativos populares, identificaron tres estrategias potenciales para ellos cuando las transacciones se mueven entre Ethereum y paquetes acumulativos con un retraso de tiempo.

«Esto surgió simplemente de analizar el protocolo y observar el flujo exacto de las transacciones: cuándo se envían, cuándo el resumen parece responderles o cuándo terminan en la cadena de bloques», dice Weintraub.

«Probamos nuestros ataques contra [Ethereum’s] test-net, una red de dinero ‘falso’ que utilizan los desarrolladores para probar sus aplicaciones», dice. «Y, esencialmente, nos robamos todo el dinero sólo a nosotros mismos».

Weintraub está actualmente en contacto con los principales desarrolladores de paquetes acumulativos para ver qué se puede hacer ante la posibilidad de ataques. Se pueden prevenir dos tipos de estos nuevos ataques, afirma Weintraub, mientras que no está claro cómo proteger a los usuarios del tercer tipo.

«Nuestra opinión es que es mejor simplemente difundir esta información para que la gente, al menos, sea consciente de los riesgos», afirma.

Esta historia se republica por cortesía de Northeastern Global News. noticias.northeastern.edu.