Un error en un comando costó 2,26 millones de dólares. Un hacker vigilante salvó de la quiebra a la criptolotería Foom Cash.
Qué pasa si dejas la configuración de fábrica en proyectos serios
El proyecto de criptomonedas Foom Cash casi perdió más de dos millones de dólares debido a un error al poner en marcha el sistema, pero la mayor parte de los fondos se recuperó literalmente en el último momento. Intervino un hacker de sombrero blanco que detectó la vulnerabilidad antes que los atacantes y logró trasladar el dinero a un lugar seguro.
El equipo de Foom Cash informó que recuperó 1,84 millones de dólares de los 2,26 millones sustraídos. El protocolo es una lotería descentralizada de criptomonedas construida sobre pruebas de conocimiento cero.
El hacker conocido bajo el alias Duha detectó la vulnerabilidad y rápidamente interceptó los fondos en la red Base, impidiendo que los atacantes retiraran definitivamente el dinero. La empresa Decurity ayudó a recuperar parte de los fondos en la red Ethereum. Ambos participantes de la operación recibieron recompensas: a Duha le pagaron 320.000 dólares en el marco de un programa de búsqueda de vulnerabilidades, y a Decurity le otorgaron 100.000 dólares por la ayuda en la recuperación de fondos.
Duha agradeció al proyecto por cumplir las promesas de pago de la recompensa y señaló que Foom Cash se toma en serio la seguridad del protocolo y valora la ayuda de los especialistas que buscan vulnerabilidades.
El motivo del hack fue un error al configurar el sistema criptográfico del proyecto. El problema surgió durante la segunda fase de la llamada «inicialización confiable», un procedimiento necesario para el funcionamiento de las pruebas de conocimiento cero. Al desplegar, se omitió un paso en la herramienta de línea de comandos que configura los parámetros del esquema de pruebas.
Como resultado, los parámetros γ (gamma) y δ (delta) permanecieron con valores por defecto. Ambos parámetros apuntaban al mismo generador del grupo G2. Dado que los valores no pasaron por una inicialización aleatoria, un atacante pudo aprovechar el error de configuración. El sistema comenzó a aceptar pruebas criptográficas falsificadas, lo que permitió retirar fondos sin autorización.
La historia demuestra lo peligrosos que pueden ser incluso los errores técnicos menores al poner en marcha sistemas criptográficos. El problema no surgió en la lógica de los contratos inteligentes, sino en la fase de configuración de la infraestructura.