Explotación de la red Poly

El ataque a Poly Network fue perpetrado por hackers anónimos el 10 de agosto de 2021. El ataque transfirió más de 610 millones de dólares en criptomonedas a los hackers. Todos los activos fueron devueltos a Poly Network en los siguientes 15 días. Fue uno de los mayores incidentes de seguridad en la historia de DeFi en términos de valor de mercado .

Poly Network es un protocolo de interoperabilidad que permite a los usuarios intercambiar una criptomoneda por otra, como Bitcoin por Ethereum . ^{[ 1 ]} Antes del ataque, Poly Network había transferido $10 mil millones en activos digitales entre blockchains, con un valor total de casi $1 mil millones.

Los hackers transfirieron aproximadamente 610 millones de dólares de los activos digitales más valiosos a tres direcciones que controlaban en Ethereum, Binance Smart Chain y Polygon. ^{[ 2 ] [ 3 ]}

Tras el ataque, el equipo de Poly pidió a las plataformas de intercambio y a los mineros que estuvieran al tanto del flujo de tokens robados y solicitó que se detuvieran las transacciones del hacker. Tether congeló USDT por valor de 33 millones de dólares. En una carta abierta en Twitter , el equipo de Poly expresó su deseo de establecer comunicación con los hackers e instarlos a devolver los tokens robados. ^{[ 4 ]}

El 11 de agosto de 2021, los hackers anunciaron que planeaban devolver los tokens. Afirmaron que el objetivo del robo era revelar vulnerabilidades y asegurar la red Poly. Publicaron una sección de preguntas y respuestas para comunicarse con el público, insertando mensajes en las transacciones con sus direcciones. ^{[ 5 ]}

Los hackers requerían direcciones multifirma para la transferencia. Poly Network generó una dirección de cobro y comenzó a recuperar los activos que fueron devueltos primero el 11 de agosto. El 13 de agosto, los hackers devolvieron activos por valor de 340 millones de dólares y transfirieron la mayor parte del resto a una dirección multifirma controlada conjuntamente por ellos y Poly Network. ^{[ 6 ] [ 7 ]}

Después de recibir los tokens, Poly Network comenzó a dirigirse a los hackers como " Sr. Sombrero Blanco " y les ofreció recompensarlos con una recompensa de $500,000 por la detección de errores y el puesto de "asesor jefe de seguridad" de Poly Network, como estrategia para garantizar la recuperación segura del resto de los activos afectados. ^{[ 8 ]}

El último dinero pirateado fue devuelto a Poly Network el 25 de agosto. ^{[ 9 ]}

La decisión de Poly Network de referirse a los hackers como "sombreros blancos" enfureció a algunos en el mundo de la seguridad, quienes temían que pudiera sentar un precedente para que los hackers criminales encubrieran sus acciones. La hacker de sombrero blanco Katie Paxton-Fear dijo que "etiquetar este hack como de sombrero blanco es realmente decepcionante". ^{[ 10 ]} Charlie Steele, exfuncionario del Departamento de Justicia y del FBI, opinó que "las empresas privadas no tienen autoridad para prometer inmunidad ante un proceso penal" y que "en este caso, donde un hacker robó 600 millones de dólares 'por diversión' y luego devolvió la mayor parte, todo ello permaneciendo en el anonimato, es poco probable que disminuya la preocupación de los reguladores sobre la variedad de riesgos que plantean las criptomonedas". ^{[ 10 ]}

Poly Network lanzó el programa global de recompensas por detección de errores en Immunefi. El programa busca incentivar a más agencias de seguridad y organizaciones de seguridad ética a participar en la auditoría de las funciones principales de Poly Network, especialmente para abordar posibles riesgos de seguridad. Las recompensas se distribuyen según el impacto de la vulnerabilidad, de acuerdo con el Sistema de Clasificación de Gravedad de Vulnerabilidades de Immunefi; las recompensas pueden llegar hasta los $100,000 para vulnerabilidades críticas. ^{[ 11 ]}