Una gran vulnerabilidad ha congelado cientos de millones de dólares de Ethereum

Hoy no es una buena noticia para Ethereum. Una vulnerabilidad que se encuentra dentro de una billetera popular ha congelado potencialmente cientos de millones de dólares de la moneda cifrada en un segundo revés en los últimos meses.

Parity Technologies, la compañía detrás del servicio de billetera Parity, ampliamente utilizado, reveló hoy un problema que podría permitir que se borre el contenido de una billetera.

El problema afecta a los billeteros multiesigna, una tecnología que utiliza el consentimiento de varias partes para obtener seguridad adicional en las transacciones, que se implementaron después del 20 de julio. En otras palabras, las ICO que se mantuvieron desde entonces pueden verse afectadas.

Es un golpe de suerte porque es la segunda vez en pocos meses que se desencadena un importante error de paridad con repercusiones potencialmente costosas para Ethereum, que es la segunda moneda cifrada más valorada del mundo con una capitalización total del mercado de más de $ 27 mil millones. En julio, una vulnerabilidad en Parity provocó el robo de 150,000 ETH (que en ese momento valía alrededor de $ 30 millones).

Ese error fue corregido el 19 de julio, de ahí la importancia de la fecha del 20 de julio, pero un elemento positivo de ese primer susto es que muchos en la comunidad Ethereum, y particularmente aquellos que han tenido ICO, se alejaron de la tecnología a favor de alternativas. Incluso aquellos que sí usaron Parity podrían no haber optado por la billetera multiesigna.

Pero aún así es un gran problema de seguridad con implicaciones más amplias. Parity explicó que encontró el problema cuando se borró la billetera de un usuario:

Tras la solución para el problema multi-sig original que se había explotado el 19 de julio (visibilidad de la función), el 20 de julio se implementó una nueva versión del contrato de la biblioteca Parity Wallet. Sin embargo, ese código aún contenía otro problema: era posible convertir el contrato de la biblioteca de Parity Wallet en una billetera multi-sig normal y convertirse en propietario al llamar a la función initWallet. Parece que el problema se desencadenó accidentalmente el 6 de noviembre de 2017 a las 02:33:47 PM UTC y posteriormente un usuario se suicidó con la biblioteca convertida en billetera, borrando el código de la biblioteca que a su vez inutilizaba todos los contratos multi-sig ya que su lógica (cualquier función de modificación de estado) estaba dentro de la biblioteca.

El problema parece centrarse en el hecho de que Parity Wallet funciona como un contrato inteligente.

Haga clic aquí para más información