La red Ethereum Layer 2 Taiko ha confirmado una brecha que afecta su mecanismo de verificación del estado de la cadena, lo que ha llevado al proyecto a instar a los usuarios a retirar todos los activos mantenidos en sus puentes entre cadenas. En una alerta de seguridad publicada el domingo, el equipo de Taiko afirmó que ya no se puede confiar en las suposiciones de seguridad fundamentales detrás de todos los puentes en la red.
Alerta de seguridad e impacto inmediato
El equipo de Taiko anunció que está trabajando junto con el Consejo de Seguridad y socios del ecosistema para contener el impacto del incidente, suspender sistemas vulnerables y buscar respuestas tanto técnicas como legales. La declaración instó a los usuarios a retirar inmediatamente fondos de todos los puentes activos que operan en la red Taiko.
El equipo de Taiko aconsejó encarecidamente a los usuarios retirar sus activos de todos los puentes de la red sin demora.
Taiko es reconocida como una solución de Layer 2 compatible con Ethereum que aprovecha la tecnología de rollup de conocimiento cero para procesar transacciones de manera más eficiente. Cofundada por Daniel Wang, la red lanzó su mainnet en mayo de 2024.
Posible causa de la explotación
Taiko aún no ha revelado la causa exacta de la brecha ni la magnitud total de las pérdidas. Sin embargo, la firma de seguridad blockchain BlockSec Phalcon ha estimado que las pérdidas superan los 1,7 millones de dólares. Según un análisis preliminar, la explotación probablemente se originó en una clave de firma de enclave Raiko SGX que era accesible al público en GitHub.
Mini glosario: SGX es una tecnología de seguridad de hardware desarrollada por Intel que permite que cierto código se ejecute en un entorno aislado y seguro. Una clave de firma de enclave se utiliza para confirmar que un enclave seguro es legítimo y está autorizado.
BlockSec Phalcon explicó que dado que la clave de firma del enclave era accesible públicamente, el modelo de confianza de atestación de SGX podría haber sido comprometido, potencialmente permitiendo que los atacantes registren instancias de SGX bajo su propio control en el sistema.
La evaluación de BlockSec sugiere que los atacantes utilizaron instancias de validadores comprometidos para producir pruebas fraudulentas aceptadas por los contratos de verificación de Taiko. Con la ayuda de una señal falsa, se registró un mensaje de puente falsificado, permitiendo que los activos basados en Ethereum fueran retirados de la estructura ERC20Vault del protocolo.
Preocupaciones de seguridad más amplias
Este incidente ha reavivado el debate sobre la resiliencia de la infraestructura de verificación de pruebas a través de redes de Layer 2. Notablemente, en el caso de Taiko, se encontró que todos los puentes de la red (no solo uno) tenían supuestos de seguridad comprometidos.
La brecha de Taiko se produce justo después de una serie de importantes hacks en el sector de las criptomonedas. En abril, se robaron 292 millones de dólares del puente entre cadenas de KelpDAO; en mayo, la acuñación no autorizada de eBTC en Monad del Protocolo Echo resultó en pérdidas de alrededor de 816,000 dólares; y a principios de este mes, el intercambio Raydium basado en Solana perdió 1.34 millones de dólares después de que se explotaran viejos fondos de liquidez.
| Protocolo | Fecha | Monto revelado | Tipo de incidente |
|---|---|---|---|
| Taiko | Anunciado el domingo | Más de 1.7 millones de dólares | Brecha de verificación del estado de la cadena |
| KelpDAO | Abril | 292 millones de dólares | Explotación de puente entre cadenas |
| Protocolo Echo | Mayo | Acuñación no autorizada de 77 millones en eBTC, alrededor de 816,000 dólares en pérdidas | Acuñación no autorizada de eBTC |
| Raydium | Principio del mes | 1.34 millones de dólares | Explotación de viejos fondos de liquidez |
Según datos del sector, las pérdidas totales de los protocolos de finanzas descentralizadas en los primeros cinco meses del año superaron los 840 millones de dólares. El incidente de Taiko probablemente intensificará las llamadas para auditorías más estrictas de la seguridad de los puentes y los marcos de verificación en toda la industria.
