La testnet del hard fork Glamsterdam de Ethereum fue cancelada después de que investigadores identificaran vulnerabilidades en dos Ethereum Improvement Proposals (EIPs) de escalamiento de gas, mientras que agentes de IA ayudaron a coordinar esfuerzos para detectar posibles problemas en contratos inteligentes.

Agentes de IA coordinan la revisión de los riesgos de Glamsterdam

La segunda y última testnet del hard fork Glamsterdam de Ethereum fue cancelada esta semana después de que ChainSecurity encontrara vulnerabilidades en las EIP-8037 y EIP-8038. Los problemas podrían haber afectado al menos 13 contratos de finanzas descentralizadas (DeFi). El gas es la unidad que mide la computación en toda la red de Ethereum, por lo que las propuestas que cambian su cobro pueden afectar una amplia superficie de código desplegado.

Los errores estaban vinculados a suposiciones sobre el comportamiento actual del gas. Los contratos que dependen de esas suposiciones podrían fallar cuando una llamada se queda sin gas, lo que podría crear vulnerabilidades explotables por un atacante. Los detalles técnicos son complejos, pero la preocupación central era que los cambios propuestos podrían producir efectos secundarios inesperados en los contratos existentes.

No se espera que el ensayo general de la testnet Hoodi se reprograme hasta que los efectos del fork hayan sido examinados con mayor profundidad. Cointelegraph también informó sobre el retraso de Ethereum: Ethereum retrasa la testnet del fork Glamsterdam por riesgos de seguridad en el gas.

En un artículo en X, Derek Chiang, de Ethlabs, señaló que los problemas se descubrieron muy tarde en el proceso, "obligando a todos a apresurarse para lidiar con las consecuencias".

"En el futuro, a los diseñadores de protocolos les convendría realizar un análisis mucho más exhaustivo de las posibles fallas que su actualización podría introducir, y hacerlo mucho antes en el proceso", dijo Chiang.

Según Chiang, dos investigadores de Ethlabs y de la Ethereum Foundation habían creado de forma independiente varios agentes de IA para escanear contratos en busca de vulnerabilidades. Al descubrir que usaban la misma estrategia, los investigadores "montaron un tablero de mensajes para sus agentes en forma de repositorio de GitHub" para coordinar el trabajo.

Chiang comparó el acuerdo con el hackeo de OpenAI-Hugging Face, en el que agentes rebeldes habían establecido un tablero de mensajes para coordinar los ataques. "Bueno, resulta que el mismo patrón también es útil para los agentes buenos", comentó.

El ejercicio tuvo tanto éxito en identificar problemas potenciales que se estableció un segundo tablero de mensajes para examinar la EIP-8198, conocida como "Quick Slots". La propuesta se ha presentado para el posterior hard fork Hegota.

El desafío "Steal My Bitcoin" se resolvió en un día

Un sitio web que desafiaba a los usuarios a "robar mis Bitcoin" explotando vulnerabilidades PHP2Shell sin parchear fue hackeado con éxito en el plazo de un día. El organizador del desafío escondió la clave de una billetera Bitcoin valorada en aproximadamente 2,000 dólares. La clave era accesible para la cuenta de usuario de PHP a través de un binario llamado print-flag.

El sitio generó un gran interés y se desconectó periódicamente debido al tráfico intenso y a los intentos de sondeo. El desafío fue resto por KillerBoi, quien extrajo la clave privada. Sin embargo, la clave no daba acceso a la dirección de la billetera mostrada en el sitio. El organizador James Pavur reconoció que fue un error y dijo que los fondos serían transferidos.

El desafío en vivo y su resolución quedaron documentados en el repositorio de prueba de concepto StealMyBitcoin. Pavur también comentó el resultado en X.

En una publicación en X, el fundador de WordFence, Mark Maunder, dijo que, a pesar de que la clave fue extraída en un día, el desafío demostró lo difícil que es explotar PHP2Shell:

"Esta es la mejor explicación que verás sobre lo difícil que es explotar #php2shell. El autor tuvo que desencadenar una condición precisa de corrupción de memoria, filtrar direcciones de memoria internas, eludir aslr, hacer ingeniería inversa de las estructuras de memoria internas de php, forjar estructuras para secuestrar la ejecución y tener en cuenta las diferencias de compilación de php, el comportamiento de los workers y los tiempos."

PHP es un lenguaje de programación ampliamente utilizado para construir sitios web y aplicaciones web, incluidos sistemas de gestión de contenidos. Esa omnipresencia explica por qué una falla en el runtime del lenguaje puede obligar a muchas organizaciones a parchear o desconectar sitios de inmediato. Agencias gubernamentales y otras organizaciones de Países Bajos, Australia, Japón, Finlandia y otros lugares desconectaron sitios web críticos el miércoles como precaución mientras se desarrollaban parches de emergencia para dos vulnerabilidades críticas relacionadas.

Las fallas podrían permitir que atacantes no autenticados ejecuten código en los servidores afectados sin iniciar sesión. Los comentarios de Maunder se publicaron en X, y el hashtag PHP2Shell relacionado también atrajo atención hacia el desafío.

La actualización Alpenglow de Solana entra en funcionamiento

La primera gran actualización de consenso de Solana, Alpenglow, se activó en la mainnet aproximadamente a la 1:54 p.m. UTC del miércoles, según el tablero de Alpenglow de la Solana Foundation.

El desarrollador de Agave, Anza, dijo que el tiempo requerido para que una transacción se vuelva final —el punto en el que se considera liquidada e irreversible— había caído de aproximadamente 12.8 segundos a unos 150 milisegundos. La actividad DeFi se mantuvo estable o ligeramente a la baja tras la actualización, aunque el período posterior fue breve.

La primera fase de la actualización, Votor, reemplaza el mecanismo existente de votación y finalización de Solana por votación directa de validadores y un sistema basado en certificados. Se espera que el cambio reduzca el recuento headline de transacciones en aproximadamente 60%.

Una fase posterior introducirá Rotor, un nuevo protocolo de distribución de datos de bloques destinado a reemplazar a Turbine. Cointelegraph también informó sobre el lanzamiento en mainnet de Alpenglow.

La comunidad de Starknet respalda la investigación post-cuántica de una L1

La comunidad de Starknet votó a favor de apoyar la investigación para convertirse en una blockchain layer-1 independiente y post-cuántica. La criptografía post-cuántica se refiere a métodos diseñados para resistir ataques de computadoras cuánticas. La votación de gobernanza, que duró siete días, reunió aproximadamente 3,200 votos, con 93.52% del poder de voto a favor de la transición.

La transición en sí requeriría una votación de gobernanza vinculante separada. Hasta entonces, Starknet continuará operando como una red layer-2 de Ethereum. Los próximos hitos son el borrador del whitepaper en noviembre y la eventual votación vinculante.

"Estamos comenzando a trabajar en un whitepaper incluso antes de que empiece el fin de semana, y esperamos publicar un borrador pararutinio público en noviembre", declaró el CEO de StarkWare, Eli Ben-Sasson, a Cointelegraph.

Starknet registró la mayor caída entre las 100 principales criptomonedas durante la semana, perdiendo una cuarta parte de su valor. La votación también fue cubierta en el reporte de Cointelegraph sobre la investigación post-cuántica de layer-1 de Starknet.

Senador estadounidense solicita información a Tether

El senador Richard Blumenthal, el demócrata de mayor rango en la subcomisión de investigaciones del Senado, solicitó información al CEO de Tether, Paolo Ardoino, después de que The Wall Street Journal informara que la empresa de stablecoins había firmado un acuerdo de 6.3 millones de dólares con una empresa de marketing cofundada por Bo Hines, exasesor cripto de la Casa Blanca. Tether es el emisor de USDT, la mayor stablecoin por valor de mercado.

En una carta a Ardoino el jueves, el senador de Connecticut dijo que la Subcomisión Permanente de Investigaciones del Senado buscaba "registros e información relacionados con contratos, pagos, comunicaciones y cabildeo" vinculados al acuerdo.

Blumenthal dijo que el acuerdo podría entrar en conflicto con las reglas sobre ética, corrupción y cabildeo. Tether dijo que una investigación externa "no encontró evidencia de irregularidades". La carta de la subcomisión está disponible como PDF, y Cointelegraph informó sobre la investigación del Senado sobre el acuerdo reportado con Tether.

Ganadores y perdedores

Al cierre de la semana, Bitcoin (BTC) caía 1.2% hasta 80,549 dólares, mientras que Ethereum (ETH) había caído 1.9% hasta 2,343 dólares. XRP (XRP) subía 0.9% hasta 1.20 dólares. La capitalización total del mercado de criptomonedas se situaba en 2.68 billones de dólares, según CoinMarketCap.

Entre las 100 mayores criptomonedas, las tres altcoins con mayores ganancias semanales fueron MemeCore (M), +24.4%; Venice Token (VVV), +14.8%; y Ethena (ENA), +14.1%.

Las tres altcoins con mayores caídas semanales fueron Starknet (STRK), -249%; Aerodrome Finance (AERO), -12.5%; y Sei (SEI), -12.5%.

Predicción de la semana: JPMorgan pronostica que Bitcoin superará a acciones y oro

JPMorgan Asset Management proyectó que Bitcoin (BTC) superará a las acciones estadounidenses y al oro en la próxima década, aunque advirtió que la volatilidad de la criptomoneda la hace actualmente inadecuada como diversificador de cartera.

El lunes, JPMorgan publicó su reporte 2027 Long-Term Capital Market Assumptions. El reporte proyectó un retorno anualizado del 10% para Bitcoin, en comparación con 7.5% para acciones estadounidenses de gran capitalización y 5.5% para el oro.

"Por el momento, no defendemos a Bitcoin como diversificador en las carteras debido a sus correlaciones de mercado inestables", indicó el reporte. "Vemos a Bitcoin como un activo especulativo y una cobertura contra la flexibilización monetaria". Cointelegraph también informó sobre el pronóstico de JPMorgan para Bitcoin.

El FUD de la semana

La fiscal general de Nueva York solicita 1,370 millones de dólares a los fundadores de NovaTech

La fiscal general de Nueva York, Letitia James, pidió a un tribunal ordenar a los fundadores de la extinta plataforma de trading de cripto y divisas NovaTech, Cynthia y Eddy Petion, junto con empresas relacionadas, a pagar 1,370 millones de dólares por un supuesto esquema Ponzi.

La oficina de la fiscal general dijo que más de 11,000 neoyorquinos perdieron decenas de millones de dólares a través de NovaTech y un esquema anterior de minería de cripto llamado AWS Mining. La demanda alega que los promotores se dirigieron a comunidades haitianas y de otros inmigrantes mediante grupos de oración, redes sociales y WhatsApp, prometiendo altos rendimientos y bonos de reclutamiento.

El caso fue detallado en el reporte de Cointelegraph sobre la acción de la fiscal general de Nueva York contra NovaTech.

Bitcoin Core revisa su política de seguridad mientras la IA acelera el descubrimiento de errores

Bitcoin Core está cambiando su enfoque ante las vulnerabilidades de seguridad porque los grandes modelos de lenguaje pueden descubrir fallas de software más rápidamente. La misma dinámica se observó esta semana en Ethereum, donde investigadores de Ethlabs y de la Ethereum Foundation desplegaron agentes de IA coordinados para escanear contratos en busca de vulnerabilidades.

El desarrollador de Bitcoin Core, Antoine Poinsot, dijo que en el pasado las vulnerabilidades generalmente se mantenían bajo largos embargos de divulgación, dando tiempo a los usuarios a actualizar antes de que los detalles técnicos se hicieran públicos. Sin embargo, dijo que los LLMs han hecho que algunas fallas sean tan fáciles de redescubrir que retrasar la divulgación ofrece poca protección. Los embargos de divulgación han sido una práctica estándar en la industria del software.

"El período de embargo logra poco, pero retrasa la disponibilidad de una versión corregida", dijo Poinsot. "Por lo tanto, estamos actualizando nuestra política de divulgación para adaptarnos a ello". La discusión está disponible en el hilo de la lista de correo de desarrollo de Bitcoin, y Cointelegraph cubrió el cambio de política de Bitcoin Core.

El Pentágono prohíbe al personal usar información militar para apostar

El secretario de Defensa de EE. UU., Pete Hegseth, prohibió al personal del Pentágono usar información no revelada para hacer apuestas sobre próximas acciones militares, incluso a través de plataformas de mercados de predicción como Kalshi y Polymarket, que permiten a los usuarios tomar posiciones financieras sobre los resultados de eventos del mundo real.

En un memorando enviado el martes a altos funcionarios del Pentágono y agencias de defensa, Hegseth dijo que todo el personal del Departamento de Guerra tiene prohibido realizar transacciones financieras usando información no pública. La restricción aplica tanto a información clasificada como no clasificada.

El memorando está disponible aquí, mientras que Cointelegraph informó sobre la restricción del Pentágono a los mercados de predicción.

Los mejores reportajes de la revista de la semana

Cinco alternativas a Ledger para guardar tus Bitcoin

Las billeteras de hardware no son la única forma de proteger tus criptomonedas. Los ETFs, las llaves de acceso y las cuentas multifirma figuran entre las alternativas, cada una con sus propios riesgos y compensaciones. El reportaje completo está disponible en 5 alternativas a Ledger para guardar tus Bitcoin.

Los agentes de IA pueden operar las 24 horas, pero el acceso podría perderse

El presidente de Animoca Brands, Yat Siu, dijo que los agentes de IA pueden ejecutar operaciones mientras los usuarios duermen, pero estos deben planificar ante la posibilidad de perder el acceso a los bots. El reportaje está disponible en Los agentes pueden operar 24/7, pero Yat Siu advierte que podrías perder el acceso en cualquier momento.