Por Canuto  

Second informó que un atacante aprovechó una falla de incorporación en su servidor Ark y sustrajo 0,75 BTC de fondos propios. La empresa lanzó una corrección en cuestión de horas y afirmó que los fondos de sus usuarios no fueron afectados.
***

  • Second perdió 0,75 BTC, equivalentes a USD $62.322 según el reporte, en un ataque dirigido a su servidor Ark.
  • El equipo atribuyó la protección de los fondos de usuarios a sus rutas de salida prefirmadas y publicó una solución horas después de detectar la falla.
  • Tras el robo, el atacante intentó usar bitcoins vinculados a la brecha de Blink Wallet y lanzó un ataque de denegación de servicio, según Second.

Un atacante roba 0,75 BTC de fondos propios al desarrollador de Ark Second

Second, desarrollador de Bark, una implementación del Protocolo Ark, informó que un atacante sustrajo 0,75 BTC de fondos propios al explotar una falla en el proceso de incorporación de su servidor. La empresa dijo que el incidente ocurrió el lunes, que lo detectó en cuestión de horas y que publicó una corrección; también sostuvo que los fondos de sus usuarios permanecieron a salvo.

El ataque no terminó con la extracción de esos fondos: según el equipo, el atacante lanzó además una ofensiva de denegación de servicio y trató de aprovechar bitcoins vinculados a una brecha anterior de Blink Wallet. Second advirtió que el DoS podría ralentizar las recepciones de Lightning Network en las carteras basadas en Bark, aunque no informó que los fondos de sus usuarios hubieran quedado comprometidos.

La falla estuvo en el proceso de incorporación

El problema apareció durante el flujo de incorporación del servidor Ark de Second, según la explicación del equipo publicada el martes. En esa etapa, los BTC de la cadena principal pasan a Ark, y el procedimiento debería requerir la cofirma del servidor para completar el movimiento. La falla permitió que el atacante registrara transferencias usando únicamente sus propias firmas, sin la aprobación que el proceso debía exigir.

Second explicó que el atacante movió esos fondos a una cartera propia y, al mismo tiempo, gastó los mismos VTXO desde el nodo de la empresa a través de Lightning. La situación combinó operaciones que, según el funcionamiento previsto, no debían poder ejecutarse de esa manera. El equipo cuantificó la pérdida en 0,75 BTC, que el reporte valoró en USD $62.322, y aclaró que se trató de fondos de la propia organización.

Los VTXO son las salidas de transacción virtuales que representan los BTC dentro de Ark, una estructura que el reporte compara con los UTXO de la cadena principal de Bitcoin. Esta distinción ayuda a entender por qué Second separó la pérdida propia del estado de los fondos de sus usuarios: el ataque explotó el modo en que el servidor procesaba nuevas incorporaciones, pero, según el equipo, no habilitó el gasto de los VTXO de clientes.

La compañía afirmó que detectó el problema en cuestión de horas y que lanzó una solución ese mismo periodo, aunque no detalló públicamente en el reporte los cambios técnicos incluidos en ella. Bitcoin News indicó que el equipo describió el incidente como una falla en el flujo de incorporación y que, después de corregirla, el atacante buscó nuevas formas de afectar el proyecto. La rapidez de respuesta redujo el tiempo durante el cual el fallo estuvo disponible, pero no evitó la pérdida ya reportada.

Second sostiene que los fondos de usuarios quedaron protegidos

Para justificar esa afirmación, Second señaló que los VTXO de sus usuarios ya se encontraban en rutas de salida prefirmadas. De acuerdo con el equipo, esas rutas impiden que el servidor gaste los fondos de los usuarios, incluso si el servidor sufre un problema. Por eso, la compañía describió las protecciones como una barrera que contuvo el alcance del incidente, pese a que el atacante consiguió retirar fondos propios mediante el flujo vulnerable.

El equipo resumió esa defensa con una frase: «El diseño cumplió su función, aunque hubiéramos preferido demostrarlo de otra manera». La declaración presenta la protección de los fondos de usuarios como un resultado de la arquitectura de salida, no como prueba de que el servidor estuviera libre de fallas. La pérdida de 0,75 BTC confirma que el error tuvo consecuencias económicas para Second, aunque la empresa aseguró que no alcanzó los saldos de sus clientes.

La diferencia entre el servidor y las rutas de salida es relevante para interpretar el alcance del ataque. La primera parte del sistema participó en la incorporación y permitió registrar transferencias con firmas del atacante; las rutas prefirmadas, en cambio, limitaron lo que el servidor podía hacer con los VTXO de usuarios, según la explicación de Second. La protección comunicada por el equipo no elimina el incidente, pero sí delimita qué fondos fueron afectados de acuerdo con la información disponible.

Second no reportó en el material publicado pérdidas adicionales de usuarios ni señaló que la corrección hubiera requerido mover sus fondos. Tampoco se detallaron cifras sobre el número de clientes o carteras potencialmente expuestos, por lo que no es posible dimensionar el alcance operativo más allá de la cantidad perdida por la empresa y la advertencia sobre posibles demoras en Lightning. La información divulgada se centra en la falla, la pérdida propia y las defensas que, afirma, preservaron los fondos de usuarios.

El ataque continuó con un DoS y un intento ligado a Blink

Después de la extracción, el atacante también lanzó un ataque de denegación de servicio contra el proyecto, según la comunicación de Second. El equipo alertó que esa ofensiva podría ralentizar la recepción de pagos de Lightning Network en las carteras que usan Bark. La advertencia se refiere a posibles demoras en las recepciones, no a una confirmación de que los fondos enviados a esas carteras se hayan perdido.

Second dijo haber detectado otro elemento en la actividad del atacante: un intento de utilizar bitcoins vinculados a la brecha de seguridad de Blink Wallet del 19 de septiembre. De acuerdo con el equipo, ese intento no tuvo éxito. El atacante tuvo que financiar las transacciones desde su propia dirección antes de regresar a ella, un detalle que conecta el episodio con la brecha anterior sin demostrar por sí mismo quién estuvo detrás de ambos hechos.

En su reconstrucción del ataque del 19 de septiembre, Blink informó que fueron sustraídos 6,61 BTC de 24 cuentas y que todos los fondos fueron restaurados. Second no atribuyó públicamente su incidente a la persona o grupo responsable de esa brecha ni afirmó que el autor de ambos ataques fuera el mismo. Lo que comunicó fue que el atacante intentó usar bitcoins vinculados a aquel incidente y que la maniobra falló.

Ark es una tecnología de capa dos para Bitcoin, diseñada para facilitar transacciones fuera de la cadena principal con el objetivo de hacerlas más rápidas y económicas, de acuerdo con la descripción recogida en el reporte. Bark es la implementación que desarrolla Second, mientras que Ark Labs figura entre los otros equipos que trabajan en implementaciones de Ark. El episodio pone el foco en las medidas de seguridad de cada implementación y en cómo sus servidores gestionan la incorporación, sin que el incidente por sí solo permita concluir que todas las versiones de Ark tengan la misma vulnerabilidad.

Por ahora, la información divulgada deja tres elementos concretos: Second perdió 0,75 BTC de fondos propios, aseguró que las rutas prefirmadas protegieron los fondos de sus usuarios y lanzó una corrección tras detectar la falla. La empresa también reportó un ataque de denegación de servicio con posibles efectos sobre la velocidad de recepción de Lightning en carteras Bark. No se ofrecieron detalles adicionales sobre el impacto de esa ralentización ni sobre una investigación posterior del ataque.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados