Plataformas DeFi: ni tan seguras ni tan privadas como se cree
Una investigación realizada por especialistas de la compañía Brave Software y la institución educativa Imperial College de Londres evalúa si las DeFi son realmente seguras y privadas. Se llega a la conclusión de que muchas de estas plataformas tienen elementos en su código que permiten vulnerar fácilmente estas áreas.
Los investigadores explican que varias plataformas de finanzas descentralizadas implementan scripts de terceras partes. Se trata de secuencias de código o programas relativamente simples, elaborados por alguien ajeno a los desarrolladores de la DeFi.
«Si un sitio de DeFi incorpora scripts, esos scripts pueden interactuar con la API del monedero del usuario, lo que puede facilitar los ataques de phishing», indican los especialistas. Añaden que un 66% de los protocolos de finanzas descentralizadas incorporan al menos un script.
Un ataque de phishing se define como aquel que busca engañar a una persona para que realice acciones que no debería realizar, como enviar dinero a la dirección de un atacante.
A modo de ejemplo, se menciona el caso del exchange descentralizado 1inch, que añade un script para facilitar la comunicación entre el usuario y el personal de soporte. Según indican los autores del estudio, el servicio lo proporciona un tercero y está incrustado en una posición tal que «le otorga control total sobre el dominio de 1inch».
Por lo tanto, si esa implementación de chat se viera comprometida, podría lograr robar fondos del monedero de los usuarios, o realizar transacciones directamente desde allí. Aclaran los profesionales que analizaron las plataformas, que estas transacciones deberían ser aprobadas por los usuarios. De todos modos, indican «una transacción bien elaborada en el momento adecuado engañaría a muchos».
Por otro lado, también con relación a los scripts, Brave Software e Imperial College indican que el 56% de las 78 plataformas DeFi analizadas incorporan al menos un script de Google. Esto tiene un impacto importante en la privacidad, según explican, a tal punto que sería posible para Google asociar direcciones de Ethereum con determinadas identidades.
Una vez más ponen como ejemplo a 1inch que incorpora scripts de Google Analytics, para medir el tráfico hacia su sitio web. Cuando un usuario quiere intercambiar determinados tokens, el exchange abre una página específica para esa operación. «Así, el uso de Google Analytics también filtra la dirección de Ethereum del usuario porque 1inch coloca su dirección», se indica.
Entonces, de acuerdo con el informe, Google puede vincular la dirección de Ethereum con la información que posiblemente ya tenga sobre el usuario, lo que incluye su identidad. En caso de que el usuario empleara varios servicios de finanzas descentralizadas, sería posible rastrear sus movimientos en todas las plataformas.
Sugieren bloquear scripts analíticos, lo cual puede hacerse mediante extensiones de navegador como Privacy Badger. También existen navegadores que, de forma nativa, llevan a cabo el bloqueo, entre ellos Brave Browser y Tor Browser. Así se evita que los proveedores de análisis puedan vincular las direcciones de Ethereum (u otras blockchains) con identidades del mundo real.
También, los especialistas recomiendan no conectar el monedero a una plataforma a menos que realmente haya necesidad de hacerlo.
Como tercer y último consejo, aunque no se lo nombra en el estudio aquí reportado, puede mencionarse el entrar solo a sitios web de confianza y con buena reputación.
Cafecito