Cómo los hermanos del MIT supuestamente engañaron a Ethereum con una práctica nociva pero aceptada por 25 millones de dólares

Lo tenían todo planeado.

A finales de 2022, los hermanos Peraire-Bueno —veinteañeros graduados del Instituto Tecnología de Massachusetts (MIT) que habían puesto sus miras en la cadena de bloques— se embarcaron en una iniciativa que finalmente les reportó 25 millones de dólares, en ONE de los exploits más sofisticados en aproximadamente una década de frecuentes ataques a Cripto . Inicialmente, según la fiscalía estadounidense, describieron un plan de cuatro pasos.

Primero fue "El cebo". Luego vino "Desenmascarando el bloqueo", seguido de "La búsqueda" y, finalmente, "La propagación".

"En los meses siguientes, los acusados siguieron cada etapa tal como se describe en su Plan de Explotación", según unacusación.

El Departamento de Justicia de Estados Unidos acusó el miércoles a dos hermanos, Anton Peraire-Bueno, de 24 años, y James Peraire-Bueno, de 28, porExplotar una vulnerabilidad en un programa de software popular utilizado por robots comerciales en la cadena de bloques Ethereum , generando ganancias estimadas en $25 millones durante una explotación de 12 segundos en Abril de 2023.

Su padre es Jaime Peraire, exjefe del departamento de aeronáutica y astronáutica del MIT,CNBC informó.

¿Cómo funcionó todo?

El exploit se produjo gracias a una vulnerabilidad que los hermanos descubrieron en MEV-boost, un software utilizado poraproximadamente el 90% de lavalidadores que ejecutan la cadena de bloques, lo que les permite ver las transacciones en bloques antes de que se envíen oficialmente a los validadores.

MEV, ovalor máximo extraíble, a veces se lo conoce como un “impuesto invisible” que los validadores y desarrolladores pueden cobrar a los usuarios al reordenar o insertar transacciones en un bloque antes de que se agreguen a la cadena de bloques.

A veces se compara esta práctica con la tendencia al alza en los Mercados bursátiles tradicionales, pero debido a la dificultad de erradicarla por completo, la comunidad Ethereum ha aceptado más o menos la práctica y simplemente ha tratado de minimizar los efectos nocivos.

Una de esas estrategias de mitigación es mediante el uso de MEV-Boost, un programa de software utilizado por aproximadamente el 90% de validadores de Ethereum . La idea es que todos los participantes puedan ganar MEV de forma más equitativa.

Esta actitud de "así es como se hace" fue reconocida explícitamente por los fiscales en su documento de acusación.

"La manipulación de estas propuestas establecidas de MEV-Boost, en las que confía la gran mayoría de los usuarios de Ethereum , amenaza la estabilidad e integridad de la cadena de bloques de Ethereum para todos los participantes de la red", según la acusación.

Bots, buscadores, relés, paquetes y constructores

En Ethereum, los usuarios envían transacciones que se agregan a un "mempool", un área donde las transacciones se encuentran en un patrón de retención.

MEV-boost permite a los "constructores de bloques" ensamblar esas transacciones del mempool y colocarlas en bloques.

Luego, los bots de MEV, o "buscadores", revisan el mempool y evalúan qué transacciones podrían generar operaciones rentables. En ocasiones, sobornan a los constructores de bloques para que reorganicen o inserten ciertas transacciones y obtengan ganancias adicionales. Los validadores de Ethereum toman esos bloques de MEV-boost y los imprimen en la cadena, donde se vuelven irreversibles.

Todos estos pasos normalmente los ejecuta el software de forma automática en fracciones de segundo.

Lo que hicieron los hermanos Peraire-Bueno en este caso fue apuntar a tres bots MEV que no tenían ciertos controles implementados y configurar 16 validadores diseñados para atraer a los bots.

Cuando los buscadores agrupan transacciones, tienen una transacción de destino, una transacción firmada anterior y una transacción firmada posterior.

“Las reglas del juego son: 'Bueno, te doy este paquete, y el paquete tiene que ejecutarse atómicamente', lo que significa que solo funcionará si las tres transacciones se incluyen exactamente en este orden, y cualquier otra cosa que no sea eso, no va a funcionar”, dijo Matt Cutler, director ejecutivo de Blocknative, una empresa de infraestructura blockchain, a CoinDesk en una entrevista.

Debido a que los hermanos instalaron validadores maliciosos, su intención siempre fue aprovechar la oportunidad de explotar los bots que no tenían esos controles, desmantelando esas transacciones.

"Debido a que las transacciones honeypot eran muy lucrativas y los bots no tenían controles establecidos para evitar que ocurrieran ciertas condiciones, y confiaban fundamentalmente en la integridad del validador y el ecosistema MEV-boost, el validador malicioso obtuvo acceso a transacciones firmadas que estaban protegidas y luego pudo manipular esas transacciones firmadas para drenar los bots de $ 25 millones de fondos", dijo Cutler.

'Firmas falsas'

En sus acusaciones, el gobierno hizo todo lo posible para demostrar que las actividades (que apuntaban a un punto crucial del funcionamiento interno de la cadena de bloques, a un nivel técnico incluso para desarrolladores de cadenas de bloques experimentados) se apartaban de las normas de la comunidad y entraban en el ámbito del fraude.

En concreto, se acusó a los hermanos de enviar una "firma falsa" en lugar de una firma digital válida a un participante crucial de la cadena, conocido como "relé". Una firma es necesaria para revelar el contenido de un bloque de transacciones propuesto, incluyendo todas las ganancias potenciales contenidas en el paquete.

En este proceso, un relé actúa de forma similar a una cuenta de depósito en garantía, que mantiene temporalmente los datos de las transacciones del bloque propuesto, que de otro modo serían privados, hasta que el validador se comprometa a publicar el bloque en la cadena de bloques exactamente como se ordenó, escribieron los fiscales. El relé no liberará las transacciones dentro del bloque propuesto al validador hasta que este confirme mediante una firma digital que publicará el bloque propuesto, tal como lo estructuró el creador, en la cadena de bloques.

Basándose en su investigación y planificación, los fiscales alegaron que los hermanos "sabían que la información contenida en la firma falsa estaba diseñada para engañar, y lo hicieron, al Relay para que divulgara prematuramente el contenido completo del bloque propuesto a los acusados, incluida la información de la transacción privada", según la acusación.

Como dijo Cutler: “Robar es robar, independientemente de los términos que permitan ese robo”.

“El hecho de que la puerta de tu coche esté desbloqueada no significa que esté bien entrar en él, ¿verdad?”, dijo.

Ethereum suele ser susceptible a algunas prácticas comerciales MEV controvertidas, como el front-running y las llamadas ataques de sándwichPero muchas figuras destacadas del ecosistema MEV consideran que el exploit que tuvo lugar el año pasado es un robo puro.

Taylor Monahan, gerente de producto principal de MetaMask,escribió en Xque “Sí, si robas y lavas 25 millones de dólares deberías esperar ir a prisión por un largo tiempo jajaja”.

"Podría decirse que es un BIT robar a los ladrones, pero independientemente de ello, fue claramente una explotación, una manipulación de conjuntos de reglas, de una manera que se considera una violación de las leyes establecidas de la jurisdicción, ¿verdad?", dijo Cutler.

Para subrayar el punto, el gobierno alegó que en las semanas posteriores al exploit, Anton Peraire-Bueno "buscó en línea, entre otras cosas, 'los mejores abogados de Cripto ', 'cuánto dura el plazo de prescripción en Estados Unidos', 'plazo de prescripción del fraude electrónico/plazo de prescripción del fraude electrónico', 'base de datos de direcciones fraudulentas de Ethereum ' y 'plazo de prescripción del lavado de dinero'".

La fiscalía también señaló que al día siguiente del ataque, James Peraire-Bueno envió un correo electrónico a un representante del banco pidiendo "una caja de seguridad lo suficientemente grande como para albergar una computadora portátil".

Sigue leyendo: Hermanos acusados ​​de explotar $25 millones en Ethereum mientras EE. UU. revela cargos de fraude