Dos errores en bibliotecas ponen a las apps de Bitcoin en riesgo de pagar comisiones excesivas
Un informe señala que las aplicaciones que importan PSBT pueden calcular mal las comisiones de minería y pasar por alto una advertencia de comisión excesiva cuando se construyen sobre dos bibliotecas vulnerables.
Según un informe de CryptoSlate, las aplicaciones de Bitcoin que dependen de dos bibliotecas defectuosas pueden estar calculando mal cuánto pagan en comisiones de minería. El problema se centra en el software que acepta transacciones de bitcoin parcialmente firmadas (PSBT) de fuentes externas.
En la configuración afectada, la contabilidad de comisiones de la aplicación produce una cifra incorrecta y una salvaguarda existente destinada a señalar comisiones inusualmente altas no se activa. El resultado práctico es que un usuario o servicio podría autorizar una transacción que pague muchísimo más en comisiones de lo previsto sin que aparezca ninguna advertencia.
Dónde está el problema
Las PSBT son un formato estándar para pasar una transacción entre monederos, dispositivos de firma y coordinadores antes de que se finalice y se difunda. Dado que el software que las importa suele calcular por sí mismo la diferencia entre entradas y salidas, los errores en esa contabilidad se traducen directamente en errores de comisión.
- Se culpa a dos errores separados de bibliotecas del comportamiento defectuoso
- Importar una PSBT puede llevar a un cálculo incorrecto de la comisión
- Como resultado, la advertencia de comisión excesiva puede eludirse
- Los detalles sobre las bibliotecas afectadas, las versiones y los parches no se incluyeron en el resumen inicial del informe
En el material revisado, el informe no cuantifica las pérdidas ni identifica qué proyectos dependen del código vulnerable. Los equipos que manejan PSBT —proveedores de monederos, coordinadores y servicios de firma— tendrían que auditar sus propias dependencias para determinar su exposición.
Los errores en el manejo de comisiones tienen consecuencias en Bitcoin porque las transacciones son irreversibles una vez confirmadas. Este tipo de divulgaciones de seguridad suelen llevar a los mantenedores a publicar parches y a los proyectos dependientes a fijar o actualizar versiones, aunque aquí no se ha confirmado ningún calendario de remediación.