Los bots de trading de criptomonedas y las aplicaciones de exchanges podrían seguir expuestos a una falla de seguridad de certificados relacionada con eMudhra, con sede en India, a pesar de las correcciones de emergencia implementadas por las grandes empresas de tecnología, según la firma de seguridad blockchain CertiK.

Para el martes, gigantes tecnológicos como Google, Apple y Microsoft habían bloqueado ocho certificados vulnerables emitidos por eMudhra —certificados que podrían falsificar versiones de sitios web legítimos—, como informó previamente Cointelegraph. Las autoridades certificadoras como eMudhra son la base de la confianza de HTTPS: son organizaciones de confianza que emiten los certificados digitales que los sitios web presentan para demostrar su identidad, razón por la cual los certificados emitidos indebidamente se tratan como una preocupación de seguridad para toda la web. Sin embargo, esas correcciones a nivel de navegador podrían no extenderse a las aplicaciones cripto que dependen de sistemas de seguridad independientes, afirmó a Cointelegraph Peiyu Wang, director sénior de seguridad de activos digitales de CertiK.

"Los bloqueos de los principales navegadores reducen sustancialmente el riesgo para los clientes que los reciben y los aplican", dijo Wang. "Algunas aplicaciones fuera del ecosistema de navegadores no aplican Certificate Transparency ni reciben las mismas protecciones de revocación".

Certificate Transparency es un marco de uso amplio mediante el cual los navegadores verifican los certificados de los sitios web contra registros públicos auditables, lo que ayuda a garantizar que los certificados emitidos indebidamente puedan detectarse y bloquearse. Las aplicaciones que operan fuera de ese ecosistema podrían no beneficiarse de las mismas salvaguardas, una brecha que afecta directamente a las cripto, donde los bots de trading y las aplicaciones de exchanges normalmente interactúan con los servicios a través de APIs en lugar de un navegador.

Wang subrayó que los servicios cripto no son intrínsecamente más susceptibles a la falla que otras industrias. Aun así, los atacantes podrían explotar certificados comprometidos para suplantar las conexiones HTTPS utilizadas por exchanges, interfaces de billeteras y APIs.

Específicamente, los atacantes podrían hacerse pasar por servicios cripto para reemplazar direcciones de depósito o engañar a los usuarios para que aprueben transacciones maliciosas, dijo Wang. Tales ataques también requerirían interceptar o redirigir el tráfico de internet de los usuarios, y las claves comprometidas de la autoridad certificadora por sí solas no expondrían las claves privadas de las billeteras.

Wang instó a los operadores cripto a actualizar su software y sus almacenes de confianza de certificados, y a verificar que sus aplicaciones rechacen los certificados afectados, una labor de verificación que recae en cada operador, ya que los bloqueos a nivel de navegador podrían no llegar automáticamente a las aplicaciones fuera de esos navegadores.

Felix Ng contribuyó a este reportaje.

Fuente: Cointelegraph