#CyberSecurityPulse: El último desastre de las carteras más importantes de Ethereum

13 de noviembre de 2017

Se estima que 587 carteras con alrededor de 513 774,16 ethers han sido congelados después de que una anomalía en una de las carteras más importantes de Ethereum fuera detectada. Parity Technologies, empresa dedicada al desarrollo de software especializada en soluciones peer-to-peer, publicó el pasado 8 de noviembre la alerta de seguridad donde afirmaba que habían detectado una vunerabilidad en la librería de las cartera multifirma. Específicamente, la empresa considera que los afectados son aquellos usuarios con activos en carteras creadas en Parity Wallet después de 20 de julio.

Resulta que tras parchear la vulnerabilidad del pasado 19 de julio, el 20 de julio se implementó una nueva versión de la librería del contrato de Parity Wallet. Desafortunadamente, ese código contenía otra vulnerabilidad que no había sido descubierta en ese momento. En esta ocasión, era posible convertir la librería del contrato de Parity Wallet en una cartera multifirma normal y convertirse en propietario al llamar a la función initWallet.

La compañía, en su último comunicado publicado ayer, comentaba que esta es una oportunidad de aprendizaje (aunque dolorosa) para la empresa, sus colaboradores y la comunidad. Afirma que ha habido discusiones dentro de Parity y en la comunidad open source desde hace un tiempo sobre cómo construir sistemas mejores y más seguros. Después de todos los incidentes de seguridad que han sufrido los usuarios de criptodivisas en estos últimos años, solo hay una cosa clara: sin seguridad, no habrá transformación en los medios de pago.

Más información en Parity Tech

Noticias destacadas

Vulnerabilidad crítica que filtra la dirección IP real de los usuarios

Las versiones para Mac y Linux del navegador de Tor acaban de recibir una solución temporal para la vulnerabilidad que filtra las direcciones IP de los usuarios cuando visitan ciertos tipos de direcciones. TorMoil, el nombre del fallo asignado por su descubridor, se activa cuando los usuarios hacen clic en enlaces que comienzan con file: //. Cuando el navegador Tor para macOS y Linux está en proceso de abrir dicha dirección, "el sistema operativo puede conectarse directamente al host remoto, sin pasar por el navegador Tor", según We Are Segment, la seguridad empresa que informó en privado el error a los desarrolladores de Tor.

Más información en We Are Segment

APT28 ha usado la técnica de ataque DDE desde octubre

Los ciberdelincuentes han comenzado a explotar activamente una vulnerabilidad de Microsoft Office recientemente descubierta. Según investigadores de McAfee, esta técnica de ataque DDE ha sido aprovechada por APT28 desde finales de octubre. La campaña incluyó documentos que hacen referencia al reciente ataque terrorista en la ciudad de Nueva York en un intento de engañar a las víctimas para que hagan clic en los documentos maliciosos, lo que finalmente infecta sus sistemas con malware.

Más información en McAfee

Noticias del resto de la semana

Propuesta de ley en Estados Unidos para designar al sistema electoral como infraestructura crítica

Un proyecto de ley del Senado pondría el poder de la legislación detrás de gran parte del trabajo de seguridad electoral del gobierno de Estados Unidos durante el año pasado y establecería una competencia nacional para proteger los sistemas electorales. La Ley de seguridad del equipo de votación de Estados Unidos, o Ley SAVE, formalizaría la designación de sistemas electorales del Departamento de Seguridad Nacional como infraestructura crítica, una medida que facilita que el gobierno federal comparta información sobre amenazas con funcionarios electorales estatales.

Más información en NextGov

Las implementaciones del IEEE P1735 pueden tener protecciones criptográficas débiles

El estándar P1735 del IEEE describe métodos para cifrar la propiedad intelectual (IP) del diseño electrónico, así como la gestión de los derechos de acceso para dicha IP. Los métodos son defectuosos y, en los peores casos, favorecerían vectores de ataque que permiten la recuperación de todo el texto en claro subyacente. Las implementaciones de IEEE P1735 pueden ser débiles frente a ataques criptográficos que permiterían a un atacante obtener la propiedad intelectual sin la clave, entre otros.

Más información en Cert.gov

Vault 8: WikiLeaks publica el código de Hive

Wikileaks anunció ayer una nueva serie de Vault 8 que revelará el código fuente y la información sobre la infraestructura de backend desarrollada por la CIA. La infraestructura del proyecto Hive se ha diseñado especialmente para evitar la atribución, que incluye un sitio web falso público después de realizar una comunicación en varias etapas a través de una red privada virtual (VPN).

Más información en Wikileaks