Ideas clave:
- El pirateo de SuperRare se saldó con el robo de 11,9 millones de fichas RARE mediante una manipulación de la raíz Merkle.
- Un “frontrunner” secuestró el exploit un bloque después del despliegue del contrato del atacante original.
- Las funciones básicas de la plataforma no se vieron afectadas, pero el fallo de la lógica de estacado reveló riesgos más profundos.
El 28 de julio, ocurrió algo extraño en la blockchain de Ethereum. Un contrato inteligente de SuperRare, una conocida plataforma NFT, fue engañado, y se robaron tokens RARE por valor de unos 730.000 $.
No se trataba de un hackeo de criptomonedas normal. El hackeo de SuperRare tuvo un giro inusual.
La persona que encontró el fallo en el código ni siquiera acabó recibiendo el dinero. Otra persona vio venir el ataque y saltó primero.
Ahora, los expertos lo califican de claro caso de front-running, un tipo de movimiento en el que alguien copia una acción pero envía su transacción más rápido.
Este hack de SuperRare no se trata sólo de un error en el código. Muestra cómo las cosas pueden salir mal incluso cuando los atacantes luchan entre sí por dinero.
¿Qué es SuperRare y cómo se produjo el pirateo?
SuperRare es un sitio web de NFT donde los artistas venden su arte digital. Existe desde 2018 y sólo permite que artistas seleccionados publiquen sus obras. También tiene una ficha especial llamada RARE.
Los poseedores de RARE pueden votar sobre el funcionamiento de la plataforma e incluso ganar recompensas apostando sus fichas.
El pirateo de SuperRare no afectó a la parte artística ni al propio token RARE. Afectó al contrato de apuesta, la parte del código que permite a los usuarios ganar recompensas. Este contrato tenía un grave error.
El contrato tenía algo llamado raíz de Merkle, una herramienta utilizada para comprobar quién debe obtener recompensas. Pero el código que controla quién puede actualizar esta raíz Merkle no era lo suficientemente estricto.
Normalmente, sólo el propietario del contrato debería poder hacer cambios. Pero el contrato de estaca de SuperRare tenía un control débil.
Esto permitía que alguien subiera su propia versión de la raíz de Merkle, lo que hacía parecer que se le permitía reclamar recompensas.
Utilizando esto, se llevaron 11,9 millones de tokens RARE en una sola transacción. Eso equivale a unos 730.000 dólares de la época.
Equipos de seguridad como CertiK y PeckShield confirmaron el pirateo de SuperRare justo después de que ocurriera. Cyvers también descubrió que la cartera del atacante se había llenado de ETH a través de Tornado Cash: una herramienta utilizada para ocultar dinero, hace más de seis meses.
Esto significa que el atacante puede haber estado preparando esto durante mucho tiempo.
El Gran Giro: Un Precursor Consiguió el Dinero
El hack de SuperRare se vuelve aún más interesante. La persona que encontró el fallo y escribió el contrato de ataque no fue la que se llevó el dinero.
Otro monedero vio cómo se enviaba el primer ataque y copió exactamente la misma jugada, pero con una comisión más alta. En términos sencillos, eso significa que pagaron más para que su transacción se procesara primero.
Como los mineros de Ethereum eligen la transacción mejor pagada, el movimiento de la segunda cartera se confirmó antes que el de la original.
Este tipo de acción se llama adelantarse. Es como colarse en la cola. La primera persona detectó un fallo, pero la segunda obtuvo la recompensa.
Blockaid, uno de los equipos de seguridad que revisó el hackeo de SuperRare, dijo que éste es un claro ejemplo de cómo incluso los atacantes pueden ser atacados.
En un solo bloque, con sólo unos segundos de diferencia, el dinero había desaparecido. La cartera que acabó con las fichas RARE robadas aún las conserva. Aún no los han movido ni vendido.
¿Qué pasa ahora y qué enseña a todos el SuperRare Hack?
De momento, SuperRare no ha dicho mucho oficialmente. No han explicado qué piensan hacer ni si devolverán el dinero a los usuarios.
La propia plataforma NFT sigue funcionando, y el token RARE no se ha roto. Pero la confianza en el sistema de apuestas de SuperRare se ha resentido.
El hack de SuperRare enseña algunas cosas importantes. En primer lugar, los contratos inteligentes deben tener normas muy estrictas sobre quién puede hacer cambios. Un simple error, como un permiso suelto, puede abrir la puerta a enormes pérdidas.
En segundo lugar, cualquiera que construya sistemas en la cadena tiene que pensar en lo rápido que pueden actuar los robots. En este caso, alguien vio un ataque y venció al atacante en su propio juego, en directo, en la cadena.
Y tercero, el hackeo de SuperRare no trata sólo de fallos en el código. Se trata de lo rápido que ocurren las cosas en criptografía.
Todo es público, todo es rastreable, y si haces un movimiento, alguien podría copiarlo incluso antes de que termines.
La pérdida de 730.000 $ es grave. Pero el giro frontal hace de ésta una de las historias más inusuales de la reciente historia de las criptomonedas.
El pirateo de SuperRare demuestra que incluso los atacantes deben vigilar sus espaldas. Y para plataformas como SuperRare, es un recordatorio: los sistemas de recompensas necesitan tanta protección como las cámaras acorazadas.
