Ataque a Horizon en junio de 2022: Harmony anuncia pérdidas de unos 100 millones de dólares

Harmony, una plataforma blockchain para desarrollar y utilizar aplicaciones descentralizadas, anunció el robo de unos 100 millones de dólares en criptoactivos en un ataque al puente Horizon el 23 de junio de 2022. La cifra era el valor estimado en dólares de los activos sustraídos, no el equivalente a 1.148,63 ETH. Este artículo recoge las primeras noticias del 24 de junio.

Harmony inició una investigación

Poco después del incidente, Harmony avisó a las autoridades competentes e hizo público el ataque. El equipo explicó que había iniciado una investigación con las autoridades y especialistas en análisis forense digital para identificar al responsable y, si fuera posible, recuperar los fondos robados.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Tras el primer anuncio, Harmony publicó la dirección de Ethereum que empieza por 0x y que el equipo había identificado como utilizada en el ataque. También la compartió en el comunicado siguiente.

https://twitter.com/harmonyprotocol/status/1540110926937894913

La noticia original registraba un saldo de 85.867,25322706327167346 ETH en esa dirección. Era una observación de las primeras horas, no el saldo actual ni el importe total del perjuicio.

Harmony afirmó que el puente BTC, operado por separado y diseñado para reducir la necesidad de confiar en intermediarios, no había resultado afectado. Según el equipo, los activos de ese puente y de las bóvedas descentralizadas permanecían intactos en aquel momento. No era una garantía general de seguridad de todos los activos de los puentes.

El equipo también informó a las plataformas de intercambio y suspendió temporalmente Horizon para impedir nuevas transferencias. La investigación seguía en curso, sin causa exacta ni fecha de reapertura confirmadas. El proyecto declaró: «Todo el equipo está movilizado mientras continúa la investigación».

Harmony prometió seguir informando a la comunidad de los nuevos hallazgos de la investigación.

Vuelven al debate las dudas sobre la seguridad de los puentes

El incidente volvió a destacar las preocupaciones previas de la comunidad sobre la estructura de firmas. La configuración multifirma de dos de cuatro exigía la aprobación con dos de las cuatro claves de firma, no dos de cuatro sistemas multifirma distintos. Ape Dev, fundador del fondo de capital riesgo de Chainstride Capital centrado en criptoactivos, había advertido a principios de abril de 2022 que el reducido número de firmantes necesarios podía dejar el puente expuesto. Esa preocupación no demostraba el método exacto de intrusión en la fase inicial de la investigación.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin, de Ethereum, también había tratado en enero de 2022 los riesgos de seguridad de los puentes entre blockchains y la posibilidad de propagación de riesgos a otras cadenas. Era una preocupación general sobre su diseño, no un diagnóstico de que todos sufrían ataques de la misma forma ni una confirmación de la causa de este incidente.

https://twitter.com/VitalikButerin/status/1479501366192132099

Entre los tokens señalados como robados en las primeras noticias figuraban Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) y Tether (USDT).

El artículo original hablaba de once transacciones entre las 7:08 y las 7:26 de la mañana, hora de la costa este de Estados Unidos. Ese intervalo y recuento pertenecían a la cobertura inicial, no a un análisis definitivo de todos los movimientos de fondos. Según la noticia, los tokens se enviaron a distintas carteras, se cambiaron por ETH en la plataforma descentralizada Uniswap, basada en Ethereum, y después se reunieron en la dirección del atacante.

Horizon permitía transferir activos entre Harmony, Ethereum y Binance Smart Chain. El puente Bitcoin era un sistema separado y debe distinguirse de Horizon al describir el incidente. Harmony operaba Horizon.

Para obtener más información, consulte nuestra guía de inversión en Harmony.