Las preocupaciones de seguridad surgen de informes sobre billeteras vinculadas a la DPRK
Hyperliquid Labs, una plataforma descentralizada para el comercio de futuros perpetuos, ha negado firmemente las afirmaciones de haber sido explotada por billeteras vinculadas a hackers norcoreanos.
Las preocupaciones surgieron después de que la experta en seguridad de MetaMask, Taylor Monahan, informara que las billeteras marcadas vinculadas a Corea del Norte habían ejecutado transacciones en Hyperliquid, lo que resultó en liquidaciones que superaban los $700,000—una cantidad inusualmente pequeña para hackers patrocinados por el estado.
Varios direcciones de hackers norcoreanos marcadas han estado comerciando recientemente en Hyperliquid, con una pérdida total de más de $700,000, según @tayvano_. Algunos miembros de la comunidad están preocupados de que estas actividades comerciales puedan significar que los hackers norcoreanos han identificado…
— Wu Blockchain (@WuBlockchain) 23 de diciembre de 2024
La controversia escaló cuando Monahan sugirió que la actividad era probablemente un esfuerzo de reconocimiento, con hackers probando las defensas de Hyperliquid en preparación para un ataque potencial.
Estos temores provocaron una ola de retiros, con más de $194 millones en USDC retirados de la plataforma en un solo día, según el tablero de análisis de Dune de Hashed.
Monahan también destacó la vulnerabilidad de la plataforma debido a su conjunto de validadores altamente centralizados, que consta de solo cuatro validadores.
En una declaración de seguimiento, Monahan instó a Hyperliquid a tomar medidas inmediatas para fortalecer sus defensas, subrayando la urgencia de abordar estas preocupaciones de seguridad.
¿Un posible hackeo de Hyperliquid?
La especulación sobre un posible hackeo de Hyperliquid sigue sin fundamento, pero si uno ocurriera, aquí está cómo podría desarrollarse.
Un ataque al contrato del puente de Hyperliquid requeriría comprometer a tres de sus cuatro validadores, logrando el quórum necesario de dos tercios.
Si tienen éxito, los hackers podrían intentar mover USDC acuñado de forma nativa en Arbitrum.
Sin embargo, Circle, el emisor de USDC, podría teóricamente congelar estos fondos, siempre que reciban y actúen rápidamente sobre órdenes judiciales.
Este proceso legal, a menudo lento, podría dar a hackers experimentados la ventana necesaria para convertir los activos robados en tokens inamovibles como ETH.
Alternativamente, podrían intercambiar el USDC robado por tokens USDC.e nativos de Ethereum y transferirlos a la red principal de Ethereum.
Todos querían que Hyperliquid respondiera a las alegaciones de un hackeo inminente, así que aquí está.
TDLR: no hay explotación, todos los fondos están seguros. Si se encuentra una vulnerabilidad, el equipo siempre está dispuesto a escuchar, ya que tienen un programa de recompensas por errores. pic.twitter.com/VHYeUogvxs
— steven.hl (@stevenyuntcap) 23 de diciembre de 2024
Matt Fiebach en Entropy Advisors explicó:
“El único camino plausible que permitiría al consejo de seguridad de Arbitrum como línea de defensa sería si los hackers intentaran retirar los fondos a través del puente canónico, probablemente después de intercambiar a ETH.”
Añadió:
“En este escenario, el Consejo de Seguridad de Arbitrum elegido necesitaría tomar la decisión de si bloquear efectivamente esta transferencia estaba dentro de su alcance de 'abordar riesgos críticos asociados con el protocolo Arbitrum y su ecosistema'.”
Las limitaciones de liquidez también representarían obstáculos significativos.
Para descargar $2 mil millones en fondos robados, los hackers tendrían que esparcir transacciones a través de varios puentes de terceros, incurriendo en un deslizamiento sustancial.
Prithvir Jhaveri, fundador y CEO de Loch, una plataforma de análisis de portafolios de cripto, ha delineado los riesgos operativos y regulatorios que enfrenta Hyperliquid.
Jhaveri señaló las vulnerabilidades derivadas de la dependencia de la plataforma en solo cuatro validadores y destacó posibles infracciones regulatorias, incluidas violaciones de las sanciones de la OFAC de EE. UU. y regulaciones de la SEC.
[Advertencia de activación]@HyperliquidX enfrenta algunos riesgos serios.
Los he organizado en orden descendente con lógica de mitigación donde sea aplicable.
1. Seguridad Operacional
2. OFAC
3. SEC
4. Concentración de Bóveda de Creadores de Mercado
5. Degradación del Rendimiento
6. Relación FDV a Float
1. Riesgo de Seguridad Operacional
Billetera… pic.twitter.com/pdU1zX5X5T
— Prithvir (@Prithvir12) 23 de diciembre de 2024
Estos riesgos se amplifican por la interacción de Hyperliquid con entidades en regiones sancionadas y su posible clasificación como un corredor no registrado.
Hyperliquid niega las alegaciones de explotación, pero no todos están convencidos
Hyperliquid Labs ha respondido a las recientes alegaciones a través de su canal de Discord, negando firmemente cualquier hackeo o explotación vinculada a direcciones afiliadas a la DPRK.
Hyperliquid enfatizó su compromiso con la seguridad operativa, citando un robusto programa de recompensas por errores y cumplimiento con estándares de la industria en análisis de blockchain.
El equipo aseguró a los usuarios que no se han divulgado vulnerabilidades por investigadores de seguridad o terceros, y todos los fondos permanecen seguros a pesar de las preocupaciones sobre actividad comercial sospechosa.
Hyperliquid Labs: Somos conscientes de los informes que circulan sobre la actividad de supuestas direcciones de la DPRK. No ha habido explotación de la DPRK - ni ninguna explotación de hecho - de Hyperliquid. Todos los fondos de los usuarios están contabilizados. Hyperliquid Labs toma la seguridad operacional en serio. No se han… https://t.co/VI46V2O00g
— Wu Blockchain (@WuBlockchain) 23 de diciembre de 2024
Sin embargo, no todos están convencidos.
Nassim Eddequiouaq, un desarrollador de cripto y exjefe de seguridad de información para el equipo de cripto de Andreessen Horowitz, expresó su preocupación, sugiriendo que los hackers norcoreanos podrían ya estar dentro de la infraestructura de Hyperliquid, ideando una explotación más efectiva.
Trabajé directamente en el mayor hackeo del puente de la DPRK (Ronin), ayudé a rastrear a los hackers del puente de BSC fuera de la cadena, y estaba en Apple en el equipo de seguridad en el momento del spyware Pegasus, así que me considero algo así como un experto aquí.
Recomendaría al equipo de @HyperliquidX hacer el… https://t.co/y0aqUAqWJb
— Nass Eddequiouaq (@nassyweazy) 23 de diciembre de 2024
Mientras que algunos en la comunidad cripto resonaron estas advertencias, otros las desestimaron como una “psicops” destinada a dañar la reputación de Hyperliquid.
hermano, no es tan serio. Tay es solo un larp y Conensys está realizando una psicops. pic.twitter.com/EjMINrJjwf
— ❀ 𝖑𝖎𝖑𝖑𝖎 ❀ (@lillipose) 23 de diciembre de 2024
Notablemente, los fundadores de Hyperliquid aún no han respondido a una oferta de Monahan, un destacado experto en seguridad, para revisar los estándares de seguridad de la plataforma sin costo alguno.
Silenciando esta tontería ahora.
Los poseedores de HL me convencieron de que está bien porque Arbitrum hará un retroceso si HL es hackeado. 🫠
Realmente, esto no es algo que esté en debate, jaja. Ya hemos pasado ese maldito punto.
HL o actúa para fortalecer su sistema. O no lo hacen.
(Por favor, háganlo 🙏)
— Tay 💖 (@tayvano_) 23 de diciembre de 2024
La volatilidad del token HYPE se estabiliza tras una breve caída
Las alegaciones en torno a Hyperliquid y las preocupaciones del mercado subsiguientes provocaron una fuerte caída en su token nativo, HYPE, que bajó más del 25% de $34 el domingo a $25 el lunes.
Sin embargo, las garantías de Hyperliquid Labs sobre la seguridad de los fondos de los usuarios ayudaron a estabilizar el token.
En el momento de escribir, HYPE había subido ligeramente a $25.80, marcando una recuperación del 1.40% en las últimas 24 horas, según CoinMarketCap.
A pesar de la volatilidad, Hyperliquid mantiene su posición como un proveedor líder de comercio de futuros perpetuos en cadena, controlando más del 55% del mercado.
Si bien los eventos recientes han puesto a prueba la confianza de los inversores, la posición dominante del mercado de la plataforma parece estar restaurando la confianza entre los interesados.
Riesgos de seguridad de la infraestructura de validadores
Los expertos en blockchain advierten que Hyperliquid, una plataforma DeFi de rápido crecimiento, alberga vulnerabilidades de seguridad significativas que podrían convertirla en un objetivo principal para las sofisticadas operaciones de hackeo de Corea del Norte.
Construido con un enfoque en la velocidad de transacción, Hyperliquid depende de solo cuatro validadores, una estructura que levanta banderas rojas.
Monahan sugirió que estos validadores podrían incluso ser operados en dispositivos que los fundadores de la plataforma utilizan para actividades personales como redes sociales y videollamadas.
Este solapamiento aumenta el riesgo de ataques de phishing que podrían entregar el control de la red—y sus miles de millones en activos— a los hackers.
jaja @ todos ustedes retardados que piensan que el riesgo es que el gobierno de EE. UU. fuerce a Hyperliquid a congelar AAAAAAAAAAHHAHAHHHAHAHAHAHAHAHHAHHAHAHHAHAHHAHAHAHAHHAHAHHAHAHHAHAHAHHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHAHHAHAHAHAHHAHAHAHAHAHAAHAHHAHAHAHHAHAHAHHAHAHAHA
Chicos, la DPRK no comercia. La DPRK prueba.🤦♀️
— Tay 💖 (@tayvano_) 22 de diciembre de 2024
El desarrollador de cripto Cygaar destacó una vulnerabilidad particularmente preocupante: el puente de Hyperliquid en Arbitrum One actualmente asegura $2.3 mil millones en USDC.
Con el requisito de quórum de dos tercios de la plataforma, comprometer a tres validadores otorgaría a los actores maliciosos acceso a la totalidad del monto.
Los propietarios de Hyperliquid deberían estar contentos de que @tayvano_ señalara sus preocupaciones ayer.
La DPRK iba a investigar HL independientemente de lo que cualquiera diga en esta aplicación.
Si el equipo de HL no estaba ya trabajando para asegurar la seguridad del puente y de los validadores, el tweet de ayer casi seguramente ha hecho… pic.twitter.com/MXNATXYHqm
— cygaar (@0xCygaar) 23 de diciembre de 2024
Los expertos han propuesto posibles salvaguardias, como que Circle, el emisor de USDC, incluya en la lista negra billeteras asociadas a hackers para inmovilizar fondos robados.
Alternativamente, el consejo de seguridad multi-firma de Arbitrum podría revertir transacciones maliciosas, aunque este enfoque enfrenta críticas por socavar la descentralización.
Los riesgos son altos, y estos riesgos destacan la urgente necesidad de medidas de seguridad mejoradas.
