! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-38482a25a6-dd1a6f-cd5cc0.webp)
A las 12:39:23 del 31 de octubre de 2023, hora de Pekín, Unibot fue explotado maliciosamente y perdió 640.000 dólares en activos. El atacante aprovechó la vulnerabilidad de "llamada arbitraria" en el contrato del enrutador Unibot para transferir varios tokens por valor de USD 640,000 preautorizados al contrato de enrutamiento a su propio nombre.
Primero echemos un vistazo al análisis de vulnerabilidades y al proceso de ataque de este incidente.
Análisis de vulnerabilidades
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-f3b6dc1c2f-dd1a6f-cd5cc0.webp)
La función 0xb2bd16ab() no verifica correctamente los parámetros de entrada, específicamente g0 y g4, que se utilizan para llamar arbitrariamente al contrato de token externo y ejecutar el método 'transferFrom()'.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-5d817a19ef-dd1a6f-cd5cc0.webp)
Proceso de ataque
El ataque comenzó a las 12:39:23 hora de Pekín del día 31 y duró hasta las 14:09:47 del día 31. Durante este tiempo, el atacante ejecutó 22 transacciones de ataque, llamando al método "0x5456a7bf()" en el contrato de ataque, que llamó repetidamente al método "0xb2bd16ab()" en el contrato del enrutador Unibot para transferir varios tokens de la dirección de la víctima a su propia cuenta.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-87f369b5c6-dd1a6f-cd5cc0.webp)
En total, se transfirieron 42 tokens de 364 direcciones de víctimas a través del router a los atacantes, que luego los explotadores vendieron por un total de 355,5 ETH (unos 640.000 dólares).
Más tarde, el equipo de Unibot respondió implementando un nuevo contrato de enrutador. En su cuenta oficial X, también anunciaron un plan de compensación para todas las víctimas. Los 355.5 ETH han sido transferidos a Tornado.Cash.
Telegram Boo
Este ataque es muy similar al incidente anterior de Maestrobot. El 25 de octubre, CertiK emitió una advertencia en la plataforma X de que el contrato del router Maestro Bots del proyecto de bots Telegram fue atacado, lo que resultó en una pérdida de unos 500.000 dólares.
Los bots de Telegram son un campo emergente en el mundo de la Web 3.0, que permite a los usuarios realizar diversas operaciones DeFi a través de la interfaz de Telegram mientras integran tokens en ella. Sin embargo, la distinción entre la innovación genuina y las ilusiones confusas es cada vez más compleja.
El equipo de seguridad de CertiK realizó un estudio de 61 proyectos en la lista de tokens de bots de Telegram de CoinGecko y descubrió que se sospechaba que casi el 40% de los proyectos estaban inactivos, potencialmente fraudulentos o en riesgo de no recuperarse de una gran venta. Los mecanismos de trading de estas plataformas son sin duda innovadores, pero muchos carecen de detalles técnicos clave, especialmente información sobre la gestión de claves privadas en wallets in-app. Recomendamos que los usuarios tengan mucho cuidado al operar en estas plataformas, minimicen la interacción con ellas y eviten almacenar activos durante largos períodos de tiempo.
Aprende sobre los bots de Telegram y sus tokens
Los bots de Telegram son programas automatizados que se ejecutan a través de programas de chat de Telegram. Pueden realizar transacciones, proporcionar datos de mercado a los usuarios, evaluar el sentimiento en las redes sociales e interactuar con contratos inteligentes a través de comandos ejecutados iniciados por la interfaz de Telegram. Este tipo de bot existe desde hace años, pero en los últimos años han ganado terreno con la llegada de los tokens de bots de Telegram.
El token bot de Telegram es el token nativo integrado en el bot de Telegram y se utiliza principalmente para funciones comerciales diversificadas, como la ejecución de transacciones DEX, la gestión de carteras en billeteras, la agricultura de rendimiento y otras posibles operaciones relacionadas con DeFi. Básicamente, estos tokens permiten a los usuarios conectarse a toda la DeFi simplemente interactuando con la interfaz de Telegram. Si estos programas pueden permanecer seguros y funcionando correctamente durante mucho tiempo, podría tener un impacto significativo en la accesibilidad general de DeFi. **
Después del 20 de julio de este año, la popularidad de estos tokens ha aumentado drásticamente, y algunos incluso han aumentado en más del 1.000%. Esta tendencia refleja el frenesí cíclico común en la comunidad de la Web 3.0, impulsado por la resonancia narrativa de la comunidad de dinero de la Web 3.0 en la Plataforma X (anteriormente Twitter).
Especialmente después de que Unibot adquiriera prominencia, surgió un gran número de OTC. A partir del 3 de agosto de 2023, la columna de tokens de bots de CoinGecko ha enumerado 61 sistemas de este tipo.
Cruzando la intersección de las narrativas
TBT (Telegram Bot Token) ocupa una posición única en el espacio de la Web 3.0. En Platform X (anteriormente Twitter), los entusiastas de la moneda Web 3.0 a menudo los discuten como tokens de utilidad. Anteriormente, el término "utilidad" se ha asociado con metanarrativas en el espacio monetario de la Web 3.0, a menudo involucrando historias de industrias especializadas como inteligencia artificial, tecnología financiera, logística, transacciones transfronterizas, etc. El OTC se desarrolló originalmente junto con una narrativa "utilitaria" para descentralizar y perfeccionar las actividades comerciales a través de una interfaz de usuario innovadora. Sin embargo, TBT en realidad ha ido más allá de una metanarrativa de utilidad única y ha encontrado resonancia en una variedad de narrativas de memes y no memes.
Al mismo tiempo, a medida que evolucionaba la narrativa de TBT, hubo una exageración cíclica en torno a los tokens de memes de minijuegos, especialmente un proyecto llamado "$HAMS". $HAMS es un token meme de corta duración que permite a los usuarios realizar apuestas en partidos de hámsters en vivo. Sin embargo, el $HAMS murió poco después del lanzamiento debido a las acusaciones de los miembros de la comunidad de que el operador estaba reutilizando imágenes de video de hámsters. Esto ha dado lugar a varios otros tokens conmemorativos de juegos, también conocidos como TBT. Uno de los tokens se llama "$TETRIS", donde los usuarios pueden apostar y participar en carreras de Tetris entre jugadores. La conexión entre ciertos tokens conmemorativos del juego se formó al ser ampliamente mencionados en la plataforma X.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-f019dd97a4-dd1a6f-cd5cc0.webp)
Otro ejemplo de intersección narrativa OTC es el de PAAL AI. Si bien no se trata de un meme dedicado, el proyecto ha desarrollado un chatbot de Telegram similar a ChatGPT. La estructura simbólica y del proyecto también es similar a la de otras estructuras OTC. Curiosamente, el proyecto no parece hacer un chatbot de Telegram, sino que proporciona una interfaz web similar a ChatGPT. Sin embargo, el bot se puede integrar en el canal personal de Telegram del usuario a través de la API.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-432b45f09c-dd1a6f-cd5cc0.webp)
Clasificación OTC de CoinGecko
Poco después del lanzamiento de Unibot, CoinGecko lanzó su lista detallada de TBT. La lista se publicó inicialmente alrededor del 20 de julio y contiene alrededor de 30 tokens. En solo unas semanas, ese número aumentó a 61. Hemos analizado esta lista utilizando una variedad de métodos, incluida una combinación de indicadores como el impulso de los precios, la dinámica de liquidez y la actividad comercial, y los hemos categorizado según si es probable que mueran o si todavía están operando activamente. A partir de agosto, la distribución se muestra en el siguiente gráfico de barras:
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-8548a397bf-dd1a6f-cd5cc0.webp)
De estos 61 proyectos, clasificamos 37 como activos y 24 como fallecidos o posiblemente fallecidos. Estos proyectos han bajado más del 85%, tienen poca o ninguna liquidez en sus fondos y no tienen actividad, o es probable que sean estafas de salida. Es decir, casi el 40% de los artículos de esta categoría han muerto o es poco probable que se recuperen.
Vale la pena mencionar que la billetera proporcionada al registrar una cuenta de bot de Telegram se genera automáticamente, mientras que la clave privada se proporciona más tarde. Unibot no especifica cómo o dónde se almacenan estas claves privadas, ya sea localmente o en segundo plano del servidor. Esto significa que es muy peligroso utilizar estos bots de Telegram para comerciar y almacenar fondos. **
Proyectos sin integración con Telegram
En el curso de nuestra investigación, descubrimos que algunos de los proyectos enumerados como TBT no integraban sus tokens en Telegram o no tenían un bot comercial de Telegram, sino solo un canal comunitario regular de Telegram. Algunos proyectos tienen DApps externas con la misma funcionalidad que Unibot, mientras que otros tienen hojas de ruta que indican que la integración de Telegram se implementará en el futuro.
Otros proyectos no tienen estas características, pero su presencia en esta lista es quizás indicativa de la narrativa cruzada que mencionamos anteriormente. ** Estos proyectos pueden autoanunciarse como proyectos de tipo OTC al enviar sus solicitudes a CoinGecko e indicar el objetivo de la integración o se integrarán en el futuro. Hemos visto cómo la exageración narrativa puede amplificar categorías específicas de tokens, y algunos incluso existen como "memeed", incluso si el proyecto en realidad no tiene nada que ver con la clase a la que está asignado. De acuerdo con nuestro análisis, el impacto de este tipo de exageración narrativa es tan grande que puede explicar en parte esta divergencia.
Escribe al final
Cada vez que una nueva narrativa se vuelve popular en la comunidad de monedas digitales, habrá una gran cantidad de proyectos similares que continuarán siendo lanzados bajo la misma narrativa, muchos de los cuales son estafas de salida o intentos de robar los activos de los inversores, y TBT no es una excepción en este sentido.
El desarrollo de TBT podría ser una innovación única para la comunidad DeFi. Si bien la utilidad de estos tokens no está clara, la aparición de plataformas similares ofrece a los inversores nuevas formas de agregar datos a sus estrategias comerciales. Sin embargo, los usuarios deben tener mucho cuidado con estas plataformas. **
En el ámbito de los OTC, los proyectos existen en forma de memes, y su valor puede desaparecer de la noche a la mañana, lo que nos obliga a mantener una actitud de participación cautelosa e informada. Muchos proyectos no proporcionan a los usuarios una documentación clara de dónde y cómo se almacenan las claves de su billetera, por lo que existe un gran riesgo de incógnitas.
Los usuarios no deben considerar el uso de estas plataformas para el almacenamiento. Los usuarios también deben tener cuidado al vincular billeteras externas a estas plataformas o interactuar con sitios web generados por estos elementos.
Ver originales
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
El proyecto de bot de Telegram vuelve a ser explotado: análisis de los incidentes de ataque de Unibot
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-38482a25a6-dd1a6f-cd5cc0.webp)
A las 12:39:23 del 31 de octubre de 2023, hora de Pekín, Unibot fue explotado maliciosamente y perdió 640.000 dólares en activos. El atacante aprovechó la vulnerabilidad de "llamada arbitraria" en el contrato del enrutador Unibot para transferir varios tokens por valor de USD 640,000 preautorizados al contrato de enrutamiento a su propio nombre.
Primero echemos un vistazo al análisis de vulnerabilidades y al proceso de ataque de este incidente.
Análisis de vulnerabilidades
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-f3b6dc1c2f-dd1a6f-cd5cc0.webp)
La función 0xb2bd16ab() no verifica correctamente los parámetros de entrada, específicamente g0 y g4, que se utilizan para llamar arbitrariamente al contrato de token externo y ejecutar el método 'transferFrom()'.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-5d817a19ef-dd1a6f-cd5cc0.webp)
Proceso de ataque
El ataque comenzó a las 12:39:23 hora de Pekín del día 31 y duró hasta las 14:09:47 del día 31. Durante este tiempo, el atacante ejecutó 22 transacciones de ataque, llamando al método "0x5456a7bf()" en el contrato de ataque, que llamó repetidamente al método "0xb2bd16ab()" en el contrato del enrutador Unibot para transferir varios tokens de la dirección de la víctima a su propia cuenta.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-87f369b5c6-dd1a6f-cd5cc0.webp)
En total, se transfirieron 42 tokens de 364 direcciones de víctimas a través del router a los atacantes, que luego los explotadores vendieron por un total de 355,5 ETH (unos 640.000 dólares).
Más tarde, el equipo de Unibot respondió implementando un nuevo contrato de enrutador. En su cuenta oficial X, también anunciaron un plan de compensación para todas las víctimas. Los 355.5 ETH han sido transferidos a Tornado.Cash.
Telegram Boo
Este ataque es muy similar al incidente anterior de Maestrobot. El 25 de octubre, CertiK emitió una advertencia en la plataforma X de que el contrato del router Maestro Bots del proyecto de bots Telegram fue atacado, lo que resultó en una pérdida de unos 500.000 dólares.
Los bots de Telegram son un campo emergente en el mundo de la Web 3.0, que permite a los usuarios realizar diversas operaciones DeFi a través de la interfaz de Telegram mientras integran tokens en ella. Sin embargo, la distinción entre la innovación genuina y las ilusiones confusas es cada vez más compleja.
El equipo de seguridad de CertiK realizó un estudio de 61 proyectos en la lista de tokens de bots de Telegram de CoinGecko y descubrió que se sospechaba que casi el 40% de los proyectos estaban inactivos, potencialmente fraudulentos o en riesgo de no recuperarse de una gran venta. Los mecanismos de trading de estas plataformas son sin duda innovadores, pero muchos carecen de detalles técnicos clave, especialmente información sobre la gestión de claves privadas en wallets in-app. Recomendamos que los usuarios tengan mucho cuidado al operar en estas plataformas, minimicen la interacción con ellas y eviten almacenar activos durante largos períodos de tiempo.
Aprende sobre los bots de Telegram y sus tokens
Los bots de Telegram son programas automatizados que se ejecutan a través de programas de chat de Telegram. Pueden realizar transacciones, proporcionar datos de mercado a los usuarios, evaluar el sentimiento en las redes sociales e interactuar con contratos inteligentes a través de comandos ejecutados iniciados por la interfaz de Telegram. Este tipo de bot existe desde hace años, pero en los últimos años han ganado terreno con la llegada de los tokens de bots de Telegram.
El token bot de Telegram es el token nativo integrado en el bot de Telegram y se utiliza principalmente para funciones comerciales diversificadas, como la ejecución de transacciones DEX, la gestión de carteras en billeteras, la agricultura de rendimiento y otras posibles operaciones relacionadas con DeFi. Básicamente, estos tokens permiten a los usuarios conectarse a toda la DeFi simplemente interactuando con la interfaz de Telegram. Si estos programas pueden permanecer seguros y funcionando correctamente durante mucho tiempo, podría tener un impacto significativo en la accesibilidad general de DeFi. **
Después del 20 de julio de este año, la popularidad de estos tokens ha aumentado drásticamente, y algunos incluso han aumentado en más del 1.000%. Esta tendencia refleja el frenesí cíclico común en la comunidad de la Web 3.0, impulsado por la resonancia narrativa de la comunidad de dinero de la Web 3.0 en la Plataforma X (anteriormente Twitter).
Especialmente después de que Unibot adquiriera prominencia, surgió un gran número de OTC. A partir del 3 de agosto de 2023, la columna de tokens de bots de CoinGecko ha enumerado 61 sistemas de este tipo.
Cruzando la intersección de las narrativas
TBT (Telegram Bot Token) ocupa una posición única en el espacio de la Web 3.0. En Platform X (anteriormente Twitter), los entusiastas de la moneda Web 3.0 a menudo los discuten como tokens de utilidad. Anteriormente, el término "utilidad" se ha asociado con metanarrativas en el espacio monetario de la Web 3.0, a menudo involucrando historias de industrias especializadas como inteligencia artificial, tecnología financiera, logística, transacciones transfronterizas, etc. El OTC se desarrolló originalmente junto con una narrativa "utilitaria" para descentralizar y perfeccionar las actividades comerciales a través de una interfaz de usuario innovadora. Sin embargo, TBT en realidad ha ido más allá de una metanarrativa de utilidad única y ha encontrado resonancia en una variedad de narrativas de memes y no memes.
Al mismo tiempo, a medida que evolucionaba la narrativa de TBT, hubo una exageración cíclica en torno a los tokens de memes de minijuegos, especialmente un proyecto llamado "$HAMS". $HAMS es un token meme de corta duración que permite a los usuarios realizar apuestas en partidos de hámsters en vivo. Sin embargo, el $HAMS murió poco después del lanzamiento debido a las acusaciones de los miembros de la comunidad de que el operador estaba reutilizando imágenes de video de hámsters. Esto ha dado lugar a varios otros tokens conmemorativos de juegos, también conocidos como TBT. Uno de los tokens se llama "$TETRIS", donde los usuarios pueden apostar y participar en carreras de Tetris entre jugadores. La conexión entre ciertos tokens conmemorativos del juego se formó al ser ampliamente mencionados en la plataforma X.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-f019dd97a4-dd1a6f-cd5cc0.webp)
Otro ejemplo de intersección narrativa OTC es el de PAAL AI. Si bien no se trata de un meme dedicado, el proyecto ha desarrollado un chatbot de Telegram similar a ChatGPT. La estructura simbólica y del proyecto también es similar a la de otras estructuras OTC. Curiosamente, el proyecto no parece hacer un chatbot de Telegram, sino que proporciona una interfaz web similar a ChatGPT. Sin embargo, el bot se puede integrar en el canal personal de Telegram del usuario a través de la API.
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-432b45f09c-dd1a6f-cd5cc0.webp)
Clasificación OTC de CoinGecko
Poco después del lanzamiento de Unibot, CoinGecko lanzó su lista detallada de TBT. La lista se publicó inicialmente alrededor del 20 de julio y contiene alrededor de 30 tokens. En solo unas semanas, ese número aumentó a 61. Hemos analizado esta lista utilizando una variedad de métodos, incluida una combinación de indicadores como el impulso de los precios, la dinámica de liquidez y la actividad comercial, y los hemos categorizado según si es probable que mueran o si todavía están operando activamente. A partir de agosto, la distribución se muestra en el siguiente gráfico de barras:
! [Proyecto de bot de Telegram explotado de nuevo: análisis de incidentes de ataque de Unibot] (https://img-cdn.gateio.im/webp-social/moments-69a80767fe-8548a397bf-dd1a6f-cd5cc0.webp)
De estos 61 proyectos, clasificamos 37 como activos y 24 como fallecidos o posiblemente fallecidos. Estos proyectos han bajado más del 85%, tienen poca o ninguna liquidez en sus fondos y no tienen actividad, o es probable que sean estafas de salida. Es decir, casi el 40% de los artículos de esta categoría han muerto o es poco probable que se recuperen.
Vale la pena mencionar que la billetera proporcionada al registrar una cuenta de bot de Telegram se genera automáticamente, mientras que la clave privada se proporciona más tarde. Unibot no especifica cómo o dónde se almacenan estas claves privadas, ya sea localmente o en segundo plano del servidor. Esto significa que es muy peligroso utilizar estos bots de Telegram para comerciar y almacenar fondos. **
Proyectos sin integración con Telegram
En el curso de nuestra investigación, descubrimos que algunos de los proyectos enumerados como TBT no integraban sus tokens en Telegram o no tenían un bot comercial de Telegram, sino solo un canal comunitario regular de Telegram. Algunos proyectos tienen DApps externas con la misma funcionalidad que Unibot, mientras que otros tienen hojas de ruta que indican que la integración de Telegram se implementará en el futuro.
Otros proyectos no tienen estas características, pero su presencia en esta lista es quizás indicativa de la narrativa cruzada que mencionamos anteriormente. ** Estos proyectos pueden autoanunciarse como proyectos de tipo OTC al enviar sus solicitudes a CoinGecko e indicar el objetivo de la integración o se integrarán en el futuro. Hemos visto cómo la exageración narrativa puede amplificar categorías específicas de tokens, y algunos incluso existen como "memeed", incluso si el proyecto en realidad no tiene nada que ver con la clase a la que está asignado. De acuerdo con nuestro análisis, el impacto de este tipo de exageración narrativa es tan grande que puede explicar en parte esta divergencia.
Escribe al final
Cada vez que una nueva narrativa se vuelve popular en la comunidad de monedas digitales, habrá una gran cantidad de proyectos similares que continuarán siendo lanzados bajo la misma narrativa, muchos de los cuales son estafas de salida o intentos de robar los activos de los inversores, y TBT no es una excepción en este sentido.
El desarrollo de TBT podría ser una innovación única para la comunidad DeFi. Si bien la utilidad de estos tokens no está clara, la aparición de plataformas similares ofrece a los inversores nuevas formas de agregar datos a sus estrategias comerciales. Sin embargo, los usuarios deben tener mucho cuidado con estas plataformas. **
En el ámbito de los OTC, los proyectos existen en forma de memes, y su valor puede desaparecer de la noche a la mañana, lo que nos obliga a mantener una actitud de participación cautelosa e informada. Muchos proyectos no proporcionan a los usuarios una documentación clara de dónde y cómo se almacenan las claves de su billetera, por lo que existe un gran riesgo de incógnitas.
Los usuarios no deben considerar el uso de estas plataformas para el almacenamiento. Los usuarios también deben tener cuidado al vincular billeteras externas a estas plataformas o interactuar con sitios web generados por estos elementos.