Un hacker ha devuelto un total de 17 nombres de dominio de Ethereum de los que pudo apropiarse durante la subasta del Ethereu Name Service (ENS). Este 4 de octubre, el mercado de coleccionables digitales OpenSea dijo que todos los nombres ENS robados fueron devueltos con éxito y que las ofertas por nombres de dominio se reiniciarán nuevamente en las próximas semanas.
A principios de septiembre, el proceso de licitación de ENS fue explotado por un pirata informático que logró robar 17 nombres de dominio. OpenSea, que dirigió la subasta, explicó que un error distribuía dominios ENS a los participantes que no tenían la oferta más alta.
Los nombres de dominio robados incluían apple.eth, defi.eth, wallet.eth y pay.eth, se incluyeron en la lista negra y se prometió al hacker una oferta atractiva para devolver los nombres de dominio. OpenSea dijo:
Apreciamos el trabajo que ha realizado exponiendo vulnerabilidades en el sistema de subastas. […] Para compensar el trabajo que ha realizado para exponer estas vulnerabilidades, estamos preparados para ofrecerle el 25% del precio de la oferta ganadora de cada nombre que devuelva. También le reembolsaremos el precio de compra.
Un dominio, coffeshop.eth, ya ha recibido una oferta de 100 Wrapped Ether (WETH), por un valor aproximado de 14.000 $ USD.
También te puede interesar: Libra sigue presentado problemas para despegar como sistema de pago
La explicación de lo ocurrido
En OpenSea han realizado una investigación completa de lo sucedido. En un post en Medium explican lo siguiente:
Un usuario descubrió una vulnerabilidad de validación de entrada que les permitía hacer ofertas en un nombre que realmente emitía un nombre diferente. Explotaron esto para emitirse 17 nombres: 11111.eth, 123.eth, 1234.eth, 123456.eth, 22222.eth, 33333.eth, 55555.eth, 666666.eth, 888.eth, 888888.eth, 99999.eth, apple.eth, defi. eth, facai.eth, love.eth, pay.eth, wallet.eth
Afortunadamente, en OpenSea se dieron cuenta del problema e inhabilitaron la plataforma para evitar que pudieran hacerse con más nombres de dominio. De igual forma, indican que algunos oferentes recibieron información incorrecta sobre cómo ofertar usando el SDK de JavaScript.
Otros oferentes en el sitio web también encontraron una condición de carrera con la verificación de propiedad de OpenSea que establece el «propietario» de algunos nombres no acuñados a la dirección nula, temporalmente. Esto dio como resultado el envío de ofertas no válidas, con el campo «objetivo» incorrecto. Como resultado, esas ofertas no se consideraron al decidir el ganador de la subasta.
Frente a los diversos problemas detectados en OpenSea decidieron pausar oficialmente las subastas de ENS y desactivar las ofertas hasta que tengan la plena confianza en que los errores en la plataforma OpenSea están completamente resueltos.
Discussion about this post