Deportes

Victor Gill Ramirez Venezuela miami marlins zac gallen//
Cómo un hacker ha estado robando millones de dólares de ETH al adivinar claves privadas débiles

A principios de esta semana, el consultor de seguridad de la empresa Independent Security Evaluators (ISE), con sede en los Estados Unidos, publicó un informe sobre las claves privadas para la cadena de bloques Ethereum.

Victor Gill Ramirez Venezuela

A pesar de haber establecido alrededor de 700 claves privadas débiles que están siendo utilizadas regularmente por varias personas, los investigadores encontraron a un “bandido de blockchain” que logró recolectar casi 45,000 éteres (ETH) al adivinar con éxito esas frágiles claves privadas. Cointelegraph entrevistó a Adrian Bednarek, analista senior de seguridad de ISE, para averiguar más sobre lo que describen como “engullir”.

Victor Gill Ramirez

Antecedentes de la investigación y hallazgos principales Bednarek dice que descubrió al hacker por accidente. En ese momento, estaba buscando un cliente corporativo que planeara implementar su propio bolso con un algoritmo integrado de generación de claves

Como analista de seguridad, antes de comenzar cualquier evaluación, debe comprender las tecnologías subyacentes con mucha claridad, básicamente como si las estuviera creando usted mismo”, dijo a Cointelegraph

“La generación de claves privadas fue uno de los componentes que tuvimos que investigar, y estaba revisando los aspectos básicos de lo que es una clave privada en Ethereum: ¿Qué tan grande es, cómo se genera y cómo se usa? para obtener la clave pública y la dirección? “

En Ethereum, Bitcoin (BTC) o cualquier otra cadena de bloques principal que admita el algoritmo del protocolo ECDSA (firma digital de curva elíptica), las claves privadas están representadas por números de 256 bits. ISE lo redujo a ocho “subregiones” de 32 bits en el espacio de claves de 256 bits durante su investigación, ya que forzar brutalmente una clave privada dentro de una región más grande es una improbabilidad estadística

Sin parar de leer: Propietarios comunes, fondos comunes: Lo que sabemos sobre el escándalo Bitfinex / Tether

Esas ocho subregiones contenían un total de 34,000 millones Teclas más débiles, que ISE analizó posteriormente. “Me tomó un día entero”, dice Bednarek

Cabe señalar que esas claves se generaron debido a códigos defectuosos y generadores de números aleatorios defectuosos, y que los investigadores se centraron específicamente en claves subóptimas

La clave privada es su identificación de usuario y su contraseña al mismo tiempo “, explicó el analista de seguridad al desglosar los mecanismos básicos.” Es diferente de lo que necesita para comenzar su sesión bancaria, para la que tiene su nombre de usuario y contraseña […] Por lo tanto, cuando dos personas usan la misma contraseña para crear un Brainwallet [es decir, monederos que contienen frases de contraseña como parte de la generación de claves privadas] -como & # 39; password123 & # 39; ambos tendrán exactamente el mismo monedero. “Como dice Bednarek,” es como vincular a dos personas con la misma cuenta bancaria ”

Inicialmente, el especialista de ISE descubrió que la clave privada de” 1 “*, que se eligió porque es el límite inferior de una posible clave privada, en realidad se estaba utilizando en la cadena de bloques. Además, ha participado en varios miles de transacciones

* — (0x0000000000000000000000000000000000000000000000000000001, si se escribe usando el código de 256 bits)

Eso fue un bandera roja “, recordó Bednarek.” ¿Por qué hay personas que usan la clave privada de 1? Eso no debería ser posible “. Su equipo comenzó a analizar más pistas para ver qué tan extendido estaba el problema. Aunque los investigadores de ISE habían establecido que este problema no es particularmente ubicuo, habían encontrado hasta 732 claves privadas débiles asociadas con un total de 49,060 transacciones

Te puede interesar: El estallido de la burbuja de Bitcoin: Una autopsia

“Aproximadamente, hay unos 50 millones de llaves que se han utilizado en el llavero Etereum, y solo tenemos descubrieron 732 de ellos ”

El bandido de blockchain Como se mencionó anteriormente, durante su investigación, el equipo de ISE notó cómo algunos de los bolsos asociados con las claves privadas -conocidos con sus métodos subóptimos- tenían una gran cantidad de transacciones yendo a una dirección específica, y no había dinero para volver a salir. Como dijo Bednarek en un video explicativo publicado en el sitio web de ISE:

“Había un tipo que tenía una dirección que estaba allí, desviando el dinero de algunos o F las claves a las que teníamos acceso. Encontramos 735 claves privadas, y resultó que tomó dinero de 12 de esas claves a las que también tuvimos acceso. Es estadísticamente improbable que adivine esas claves por casualidad, por lo que probablemente estaba haciendo lo mismo. […] Básicamente, él estaba robando fondos tan pronto como llegaron a las billeteras. la gente. “

En una conversación con Cointelegraph, Bednarek explicó que el hacker (o un grupo de hackers) había establecido un nodo para robar automáticamente los fondos de las direcciones con claves débiles. Para verificarlo, los investigadores usaron una trampa: enviaron un dólar usando una clave privada débil, que sabían que el pirata informático sabía, para ver qué tan rápido se tomaría. El dinero desapareció en cuestión de segundos, dijo el empleado de ISE:

“Si fuera algo manual, tal vez lo harían. Lo hemos quitado en un día o algo así, pero tan pronto como lo enviamos, fuimos al explorador de blockchain y vimos que hubo una transferencia que salió de inmediato, en cuestión de segundos, así que básicamente lo que [el hacker] tiene es un nodo de blockchain que forma parte de la red de transacciones configurada en algún lugar, tan pronto como ve que las transacciones llegan con una clave privada de la que tiene conocimiento, envía inmediatamente una solicitud para transferir el dinero. “

De acuerdo con los datos obtenidos de Etherscan, la cartera del hacker contiene aproximadamente 45,000 ETH (con un valor de más de 7.3 millones de dólares al momento de escribir este artículo). Durante el valor más alto de ether, Se estima que el botín del bandido se podría haber vendido por más de 50 millones de dólares

Según la sección de comentarios del correo electrónico del estafador, había estado robando fondos durante varios años. Uno de los comentarios, supuestamente enviados por el proveedor principal de monederos de ETH, MyEtherWallet (MEW), incluyen un enlace a un hilo en Reddit 2016 titulado “Los nodos Ethereum con configuraciones RPC inseguras se explotan activamente”. En él, un redditor describió la configuración de un nodo Ethereum “con su API RPC HTTP expuesta a Internet” y ser atacado a los pocos minutos de su lanzamiento

“Si buscas en Google [del hacker] hay muchas personas que se quejan de él”, confirma Bednarek. , admitiendo que el defraudador & # 39; s tac Los tics han demostrado ser bastante exitosos:

“Este tipo ha adoptado un enfoque múltiple para robar dinero. “

Sigue leyendo: Las acusaciones del Fiscal General de Nueva York están” llenas de imprecisiones “, dice la carta de Bitfinex a los usuarios

El analista de seguridad describió la El método del defraudador en más detalle: “Uno: busca claves privadas erróneas. Dos: busca carteras débiles basadas en contraseñas mal configuradas y RPC. No debe exponer el RPC de su nodo Ethereum, pero a veces la gente lo hace, y si no tiene la contraseña establecida, alguien puede, básicamente, vaciar la billetera predeterminada asociada con el nodo. “

Pero esta apropiación de activos no es un problema exclusivo de la cadena de bloques Ethereum, advierte el investigador de seguridad de ISE.” La cadena de bloques funciona según lo planeado, es la forma en que la gente lo usa “, dijo, describiendo un problema relacionado con la ética que enfrentó su equipo mientras realizaba su investigación:

“Antes de comenzar con esto (la investigación), teníamos un dilema ético: ¿y si una de esas llaves encontramos un bolso con un millón de dólares? Lo dejamos ahí? Pero si lo dejamos allí, sabemos que está detrás de una clave privada defectuosa y es probable que la robe, por lo que seríamos un poco responsables de que este dinero sea robado porque podríamos haber advertido a alguien, pero el segundo problema es, ¿A quién notificamos? No hay una manera fácil de identificar al propietario de una clave privada. Tal vez podríamos tomar el dinero temporalmente hasta que alguien pueda demostrar que es suyo, pero eso crea muchos problemas legales, por lo que el CEO de la compañía [para la que estaban investigando] se puso en contacto con el IFS para solicitar asesoramiento legal y, básicamente, dijo: `Si encuentras algo, déjalo ahí. No hagas ninguna transferencia. De esa manera usted no tendrá problemas legales. “

Seguridad y consejos de investigación adicionales Por lo tanto, según Bednarek, las claves privadas tienden a ser vulnerables debido a dos factores principales: el primero es codificar los errores en el software. Segundo, algunos propietarios de criptas tienden a obtener idénticos claves privadas a través de frases de contraseñas débiles como “abc123”, o incluso dejarlas en blanco

Por ejemplo, el informe ISE declaró que una de las claves privadas débiles más populares son las generadas a partir de una frase de recuperación vacía, es decir, “”, utilizando el paridad moendero, se notificaron 8,772 transacciones en esta dirección con un total transferido de 5,215,586 ETH. [19659002] “Por un tiempo, Parity permitió usar una contraseña predeterminada de nada y generaría la clave privada basada en eso, “Bednarek explica, y agregó que el bolso desarrollado, supuestamente, solucionó el problema en algún momento”. Creo que han introducido algunos requisitos mínimos para las contraseñas [desde entonces]. Puede ser un solo carácter, pero no puede usar contraseñas en blanco en Parity en este momento si está usando la versión más reciente de su software. “

Ningún creador de billetera Ha contactado con ISE todavía, según Bednarek:

“Es un tema interesante porque es difícil decir qué bolso fue el responsable, si hubiera un bolso, podría ser que la gente introdujera las claves privadas incorrectas, podrían ser las primeras versiones de purificación. De los bolsos podrían ser los propios desarrolladores, es un poco difícil decir por qué existe y qué bolso es el culpable, algo que creo que nunca sabremos. “

También puede ser interesante: Informe que Samsung se une a los gigantes corporativos interesados ​​en las criptas

La placa principal de Bednarek para aquellos que no son expertos en computación n es conocida y use carteras confiables, bolsos que posiblemente cambien el hardware o el papel si se trata de grandes cantidades de criptomoneda. Dijo:

“Si va a haber comercio o posesión de una gran cantidad de dinero, use una billetera de hardware donde la clave privada nunca “Muchos de mis amigos que son poseedores a largo plazo usan carteras de papel, la que genera una clave aleatoria y la almacena en un papel para que nunca toque la computadora”

Sin embargo, siempre existe cierto riesgo, Incluso cuando se trata de software popular, advirtió Bednarek, mencionando el ejemplo del bolso Iota. , que fue comprometido por un desarrollador de Oxford que fue arrestado y acusado de robar unos 10 millones de euros el mes pasado

Dado que la billetera Iota es de código abierto, su código fue publicado en Github. En algún momento, el estafador modificó el generador de números aleatorios enviando un cambio al código

Eso se hizo de una manera muy confusa”, dijo Bednarek. “Aunque muchas personas pudieron verificar el código”, simplemente asumieron que debería funcionar, según él

De esta manera, el pirata informático podía ver cómo se generaban las claves privadas y reproducirlas usando su código inyectado, explicó el Especialista de ISE

“Después de que muchas personas perdieron mucho dinero, alguien finalmente cambió sus modificaciones a el generador de números aleatorios y pudo ver que estaba creando números secuenciales dentro del rango específico del espacio clave ”

En cuanto al futuro, ISE planea continuar monitoreando las cadenas de bloques y las claves privadas débiles en mayor escala. “Moveremos nuestro método de escaneo para usar la GPU, donde podremos analizar 38,000 millones de claves en cuestión de segundos”, dijo Bednarek a Cointelegraph

Más información en: Según un ejecutivo de BBVA, las criptomonedas no son una alternativa creíble al dinero en su estado actual

“A medida que hacemos el análisis más eficiente, podemos hacer algunas cosas adicionales. por ejemplo, buscar grupos de “brainwallets” u otros algoritmos de generación de claves que podrían ser defectuosos. Nos expandiremos a diferentes áreas para identificar más pistas ”

Además, el grupo de investigación de seguridad publicará más información, incluidas las claves públicas defectuosas, para que Las personas pueden hacer su propia investigación y ser conscientes de posibles violaciones de la seguridad. “Tal vez esto se convierta en un esfuerzo de colaboración para ayudar a encontrar algunas de las causas de esto”, sugirió Bednarek

Source link