Wallet de Ethereum MetaMask y Phantom de Solana, Corrigen Error de Seguridad ‘Demoníaco'

Wallet de Solana Phantom anunció el miércoles que lanzará una nueva actualización la próxima semana para reforzar aún más su seguridad después de haber liberado un parche a una "vulnerabilidad demoníaca" descubierta por la firma de ciberseguridad blockchain Halborn en mayo del año pasado.

La vulnerabilidad afectaba a las wallets de las extensiones de navegador MetaMask, Phantom, Brave y XDefi. Cuando cualquiera de estas wallets se importaba utilizando una frase semilla, las frases secretas de recuperación "pueden haber sido almacenadas en el disco sin cifrar".

Esto significa que cualquier persona que utilice un ordenador prestado o cualquier ordenador sin cifrar puede correr el riesgo de perder los activos de su cartera si un atacante es capaz de acceder a su disco duro.

La wallet de Ethereum MetaMask hizo un parche discretamente a esta vulnerabilidad en marzo con la versión 10.11.3, que modifica el proceso de entrada de la frase de recuperación en "un campo por palabra".

En una publicación del blog el miércoles, MetaMask dijo que los usuarios de apps móviles no están afectados por el exploit.

Phantom dijo que se enteró de la vulnerabilidad en septiembre de 2021. Comenzó a hacer correcciones en enero de 2022, pero hizo un parche completo de la vulnerabilidad en abril de este año.

Phantom añadió que la semana que viene lanzará otro parche de seguridad importante.

Halborn informó el miércoles de que Brave y XDefi también han corregido la vulnerabilidad.

MetaMask dijo que premió a Halborn con 50.000 dólares por descubrir el fallo de seguridad, y aseguró a los usuarios que el fallo sólo afecta a "un pequeño segmento de usuarios".

También dijo que cualquier persona con un disco duro totalmente encriptado sería inmune a la vulnerabilidad.

"Los usuarios que utilizan el cifrado de disco completo son totalmente inmunes al enfoque reportado, y lo recomendamos para todos los usuarios sólo para ser extra seguro", escribió MetaMask en Twitter.

Desde que se descubrió el exploit, Phantom compartió que ha contratado al empleado de Halborn que descubrió la vulnerabilidad, Oussami Amri, como ingeniero de seguridad.

"Partes sustanciales de nuestra base de código han cambiado", dijo Phantom, añadiendo que haría partes de su código abierto en un futuro próximo.

MetaMask aconsejó a cualquier persona que pudiera haber estado utilizando una versión anterior de su extensión para navegadores con un disco duro sin cifrar—que importara su frase secreta de recuperación en un dispositivo potencialmente comprometido y seleccionara la casilla "Mostrar frase secreta de recuperación”—que considerara la posibilidad de migrar a una nueva wallet.