Informe sobre el Retraso en la Congelación de USDT
Un nuevo informe de AMLBot revela un «retraso significativo» entre las plataformas de intercambio que afirman congelar USDT asociado a direcciones maliciosas y el proceso real de congelación. Según este informe, la ejecución de la congelación en la cadena del stablecoin USDT de Tether ha sido lenta, lo que ha permitido que al menos $78 millones se pierdan a manos de actores maliciosos en las redes de Ethereum y Tron desde 2017.
Laguna de Lavado
La denominada «laguna de lavado» resulta de la configuración del contrato de múltiples firmas de Tether. Este proceso implica que se debe enviar una solicitud de congelación en la cadena que requiere la aprobación de varias firmas antes de que la acción pueda ejecutarse. Así, se crea una «ventana de oportunidad» que permite a los delincuentes mover fondos antes de que su dirección sea congelada. Un ejemplo proporcionado en el informe muestra un retraso de 44 minutos entre la solicitud de congelación y la confirmación en Tron.
AMLBot reporta que $49.6 millones han sido retirados por actores maliciosos en la red Tron desde 2017 debido a esta vulnerabilidad. Durante la ventana de retraso, las billeteras pudieron realizar hasta tres transacciones, con un 4.88% de las billeteras en la lista negra aprovechando dicho atraso. En la red de Ethereum, la firma identificó $28.5 millones de USDT retirados en el mismo periodo, alcanzando un total de $78.1 millones en ambas cadenas.
Revisión de PeckShield
La firma de seguridad PeckShield revisó el informe y confirmó la existencia de esta laguna.
“No necesariamente indica un problema con el contrato en sí, sino que es un problema operativo que genera un tiempo de espera entre el envío de la transacción de la lista negra y su ejecución”,
explicó un portavoz de PeckShield a Decrypt.
“Dada la naturaleza crítica de este problema en términos de seguridad, es preciso implementar mejoras.”
La Función de Tether y las Direcciones en la Lista Negra
Tether es el emisor del stablecoin más grande en el ecosistema cripto, USDT, cuyo objetivo es mantener su precio vinculado al dólar estadounidense. La compañía lista en la lista negra a las direcciones que comercian sus activos si están asociadas a actividades ilícitas, como fue el caso de las billeteras involucradas en el hackeo de Bybit por $1.4 mil millones a principios de este año. Ser incluido en la lista negra significa que la dirección en cuestión ya no puede mover activos emitidos por Tether, lo que convierte los tokens en efectivamente inútiles.
Vulnerabilidad y Herramientas de Aprovechamiento
No obstante, AMLBot admite que los actores maliciosos son conscientes de este retraso y están desarrollando herramientas para aprovecharlo.
“Estas herramientas pueden programarse para vigilar la cadena de bloques en busca de interacciones específicas del contrato, como las llamadas submitTransaction relacionadas con las solicitudes de congelación”,
señaló Slava Demchuk, CEO de AMLBot, a Decrypt.
“Los bots pueden alertar a los propietarios de las billeteras en el momento en que se inicia una congelación, pero antes de que se efectúe. Dado el retraso introducido por el proceso de múltiples firmas de Tether, esto proporciona una ventana estrecha pero crítica para que los delincuentes muevan fondos rápidamente.”
“Si bien no hemos observado directamente estos bots, el comportamiento en la cadena sugiere fuertemente que tal automatización está en juego”,
añadió. PeckShield advirtió que el retraso es inherente a la forma en que funcionan las cuentas multi-sig. Básicamente, lleva tiempo reunir las firmas de múltiples individuos, aunque este procedimiento se requiere en muchos casos para incrementar la seguridad. La firma sugirió que Tether podría agrupar la solicitud de congelación con el proceso de firmas en una sola transacción para eliminar la ventana de vulnerabilidad.
Hasta el momento, Tether no ha respondido a la solicitud de comentarios de Decrypt; se actualizará este artículo una vez que se reciba una respuesta.
