Chainlink lanza una gran actualización de seguridad tras un hackeo millonario

Chainlink ha lanzado una importante actualización de su tecnología para que las blockchains puedan comunicarse entre sí. Con CCIP 2.0, las empresas pueden añadir controles de seguridad adicionales cuando envían tokens o información entre distintas redes.

La actualización llega unos meses después de un gran ataque a un puente, en el que se perdieron cientos de millones de dólares. Con el nuevo diseño, Chainlink busca evitar que un único control débil baste para poner en riesgo grandes cantidades de criptoactivos.

Chainlink da a las empresas más control sobre la seguridad

Chainlink es conocido sobre todo como una red de oráculos. Esto permite a las blockchains utilizar información disponible fuera de su propia red, como los precios actualizados de las criptomonedas.

Con el Cross-Chain Interoperability Protocol, conocido como CCIP, Chainlink va un paso más allá. Esta tecnología permite enviar tokens y mensajes entre distintas blockchains.

Es un aspecto relevante porque, por lo general, las blockchains no pueden comunicarse entre sí de forma automática. Para ello se suelen utilizar los llamados puentes.

Precisamente en esos puentes puede surgir un riesgo importante de seguridad. El sistema debe comprobar que una transacción se ha producido realmente en una blockchain antes de liberar tokens en otra red.

Si un atacante consigue engañar ese control, el sistema puede interpretar que se han depositado fondos cuando en realidad no ha sido así. En el peor de los casos, podrían liberarse tokens sin que existan activos reales que los respalden.

Por eso, con CCIP 2.0 las organizaciones pueden añadir verificadores adicionales. Se trata de controles independientes que confirman si una transacción es válida. Las empresas pueden realizar esas comprobaciones por sí mismas o recurrir a terceros.

El ataque a Kelp DAO dejó claro el riesgo

La vulnerabilidad de este tipo de sistemas quedó patente en el ataque a Kelp DAO. Los hackers lograron sustraer unos 292 millones de dólares en rsETH a través del puente del proyecto.

El puente utilizaba LayerZero y confiaba una comprobación clave a un único verificador. Los atacantes consiguieron engañar ese control.

Tras el ataque se abrió un debate sobre la configuración de seguridad elegida. LayerZero sostuvo que Kelp podría haber configurado varios verificadores. Kelp, por su parte, señaló que empleados de LayerZero habían revisado anteriormente la configuración sin plantear objeciones, según el proyecto.

Además, esa configuración no era excepcional. Datos de CoinGecko mostraban entonces que casi la mitad de las aplicaciones activas en LayerZero también utilizaban un solo verificador.

Después del ataque, Kelp anunció su intención de trasladar rsETH a Chainlink.

CCIP 2.0 también modifica la seguridad existente

La nueva versión da más margen de maniobra a las empresas, pero al mismo tiempo modifica una parte importante del modelo de seguridad anterior.

En la versión previa de CCIP, una red separada de gestión de riesgos volvía a revisar las transacciones. De este modo, por defecto intervenían dos redes independientes en la seguridad.

En CCIP 2.0, esa red ya no desempeña esa función específica. A partir de ahora, las organizaciones pueden añadir sus propios verificadores adicionales si quieren incorporar un control extra.

Como resultado, una parte mayor de la decisión sobre seguridad queda en manos de las propias empresas. Quien no configure un verificador adicional confía, en el esquema estándar, en una sola red para la comprobación.

Chainlink subraya que su propia red sigue verificando cada transferencia. Según la compañía, esa red está formada por dieciséis operadores de nodos independientes.

Las empresas pueden añadir después varios controles adicionales sobre esa base. Chainlink menciona, entre otros, a Infosys y Nethermind como proveedores capaces de ofrecer este tipo de servicios de verificación.

Los usuarios actuales de CCIP han sido migrados automáticamente a la versión 2.0. Chainlink aún no ha comunicado qué organizaciones están utilizando realmente la nueva opción de verificadores adicionales. Aave y Maple sí han empezado ya a implementar otras funciones incluidas en la actualización.