Slock.it: La DAO, el hackeo y el giro hacia el IoT

Slock.it fue una empresa alemana de blockchain fundada en 2015 por Christoph Jentzsch, Simon Jentzsch y Stephan Tual. Su objetivo era permitir a las personas alquilar, compartir y desbloquear activos físicos mediante contratos inteligentes de Ethereum, sin la intermediación de una plataforma. Es más conocida por ser la desarrolladora de The DAO, un fondo de inversión basado en Ethereum que recaudó aproximadamente 12 millones de ETH (unos 150 millones de dólares en aquel momento) en 2016 y que fue víctima de una vulneración de seguridad semanas después.

La vulnerabilidad provocó una bifurcación dura de Ethereum en julio de 2016, que dio lugar a dos redes: Ethereum (ETH), que revirtió los efectos del robo, y Ethereum Classic (ETC) , que conservó la cadena original. Posteriormente, Slock.it se centró en Incubed (IN3), un cliente de verificación sin estado para dispositivos de bajo consumo, y fue adquirida por Blockchains, LLC en junio de 2019.

Esta historia es relevante porque puso de manifiesto el daño que puede causar un simple error en un contrato cuando el código gestiona dinero real. Además, se convirtió en un punto de referencia para los debates sobre inmutabilidad, gobernanza y regulación de valores. Los detalles, como los valores en dólares, dependen del precio de ETH utilizado, por lo que las cifras que se muestran a continuación son aproximadas.

Origen e Historia

2015: Slock.it se funda en Mittweida, Alemania. Su propuesta es una "Red Universal de Intercambio" en la que se alquilan cerraduras inteligentes y dispositivos conectados mediante contratos de Ethereum.

30 de abril de 2016: Se abre la venta de tokens de la DAO. Durante el período inicial, se emiten tokens a razón de 100 DAO por cada 1 ETH.

Mayo de 2016: La venta se cerró con aproximadamente 12 millones de ETH recaudados de más de 11 000 inversores, la mayor campaña de financiación colectiva registrada hasta entonces. Un informe publicado ese mismo mes alertó sobre problemas de seguridad e instó a la cautela. (Fuente: The Block )

12 de junio de 2016: Stephan Tual publica una entrada en la que afirma que los fondos de The DAO no corren riesgo debido a un error de "llamada recursiva" recientemente revelado. (Fuente: Cronología de bifurcaciones de Ethereum Book )

Junio ​​17, 2016: Un atacante explota una vulnerabilidad de reentrada en The DAO. splitDAO Su funcionamiento consume alrededor de 3.6 millones de ETH, con un valor aproximado de 50 millones de dólares en ese momento (algunas fuentes hablan de hasta 70 millones de dólares, dependiendo del precio utilizado).

15 y 16 de julio de 2016: Se celebra una votación ponderada por monedas ("carbonvote"). Aproximadamente el 5.5 % del suministro de ETH vota, con cerca del 80 % a favor de la bifurcación; una cuarta parte de los votos a favor provino de una sola dirección.

20 de julio de 2016: En el bloque 1,920,000, Ethereum sufre una bifurcación dura. Los fondos retirados se transfieren a un contrato de recuperación donde los poseedores de tokens DAO pueden retirarlos a razón de 100 DAO por cada ETH. Quienes rechazaron la bifurcación continúan operando la cadena original, que pasa a llamarse Ethereum Classic.

Julio de 2017: La SEC de EE. UU. publica su Informe de Investigación, concluyendo que los tokens de DAO eran valores según la prueba de Howey. No emprendió ninguna acción legal contra The DAO.

Después de 2016: Slock.it se centra en Incubed, un cliente sin estado que verifica los datos de Ethereum con pruebas, dirigido a dispositivos demasiado pequeños para ejecutar un cliente ligero.

Junio ​​de 2019: Blockchains, LLC anuncia la adquisición de Slock.it y declara que respaldará a Incubed. Christoph y Simon Jentzsch asumen puestos directivos en el área de tecnología de Blockchains.

2026: En el décimo aniversario del hackeo, se informó que más de 75 000 ETH no reclamados de la recuperación original se destinaron a un fondo de seguridad de Ethereum. (Fuente: The Block )

En términos simples

1. Alquileres sin intermediarios: Imagina alquilar una habitación libre cuya puerta se desbloquea automáticamente al confirmarse el pago, sin que ninguna plataforma de reservas se quede con una comisión. Esa fue la idea detrás de las cerraduras inteligentes de Slock.it.
2. Un fondo de inversión compartido: La DAO funcionaba como un fondo de club. Los miembros aportaban ETH, recibían tokens de votación y votaban sobre qué proyectos debía respaldar el fondo.
3. El error de reentrada: Imagina un cajero automático que te da dinero antes de actualizar tu saldo. Si puedes volver a pedirlo antes de que se actualice, puedes seguir retirando dinero. El atacante hizo algo similar repitiendo una acción parecida a un retiro antes de que el saldo se pusiera a cero.
4. El tenedor: La mayor parte de la comunidad estuvo de acuerdo en modificar el historial de la cadena de bloques para deshacer el robo. Una minoría se negó y mantuvo la cadena antigua, argumentando que las reglas escritas en el código no deberían modificarse a posteriori.
5. Incubado: Un dispositivo pequeño normalmente no puede almacenar toda la cadena de bloques. Incubed le permite solicitar una respuesta a una red de nodos y verificar la prueba proporcionada, por lo que no necesita confiar en un solo servidor.

Importante: El fracaso de la DAO no se debió a la idea misma de las DAO en general, sino a un contrato específico, un proceso de revisión concreto y un sistema de gobernanza determinado. Si bien las DAO posteriores utilizan auditorías, plazos de espera y controles de multifirma, aún conllevan riesgos relacionados con los contratos inteligentes y la gobernanza.

Características técnicas clave

Cómo funcionaba la DAO

• Venta de tokens: Los participantes enviaron ETH al contrato y recibieron tokens DAO a cambio. Los tokens otorgaban derechos de voto sobre las propuestas.
• Propuestas y votación: Los contratistas presentaron propuestas y los poseedores de tokens votaron sobre si financiarlas o no.
• El mecanismo de división: Los miembros que no estuvieran de acuerdo con una decisión podían dividirse en una DAO hija y llevarse consigo su parte de ETH. Esta función se diseñó para proteger a los titulares minoritarios.
• El defecto: El splitDAO La función envió ETH antes de actualizar el saldo del emisor. Un contrato malicioso podría volver a llamarla desde dentro de la transferencia, repitiendo el retiro.

El patrón de reentrada

• Causa: Un contrato realiza una llamada externa antes de registrar el efecto de la acción.
• Solución: El patrón “checks-effects-interactions” actualiza primero el estado interno y llama al código externo al final. Los mecanismos de protección contra la reentrada añaden una segunda capa.
• Limitación: Los patrones reducen una clase conocida de errores. No reemplazan la revisión de todo el sistema.

Incubado (IN3)

• Propósito: Proporcionar a los dispositivos con recursos limitados una conexión verificada a la cadena de bloques sin sincronizarla.
• Diseño: El cliente no tiene estado. Selecciona nodos de un registro en la cadena, solicita datos con pruebas y los verifica. Los nodos publican depósitos que pueden perderse si firman datos incorrectos. (Fuente: Wiki de Incubed)
• Limitación: El cliente sigue dependiendo de un conjunto de nodos remotos para obtener datos, por lo que la disponibilidad de la red y la distribución de los nodos son importantes.

Ventajas desventajas

Gestión de riesgos

Riesgo de contrato inteligente

• Verifique si un protocolo ha sido auditado de forma independiente y lea qué abarcó dicha auditoría. Una auditoría reduce el riesgo, pero no lo elimina.
• Fíjate en los programas de recompensas por detección de errores, la cobertura de las pruebas y cuánto tiempo lleva el código en funcionamiento.
• Medidas de mitigación: ajuste el tamaño de sus posiciones a lo que pueda permitirse perder y evite concentrar fondos en un solo contrato nuevo.

Riesgo de gobernanza

• La votación de tokens puede estar dominada por unos pocos grandes poseedores. En la votación de bifurcación de 2016, una sola dirección aportó aproximadamente una cuarta parte de los votos a favor.
• Medidas de mitigación: lea las propuestas antes de votar y examine los mecanismos de delegación, bloqueo temporal y veto.

Riesgo regulatorio

• El informe de la SEC de 2017 concluyó que los tokens DAO cumplían con la prueba de Howey. Si un token determinado se considera un valor depende de sus características y de la jurisdicción.
• Medidas de mitigación: obtenga asesoramiento legal cualificado antes de lanzar o comercializar un token.

Riesgo de IoT y blockchain

• Conectar dispositivos físicos a una cadena añade riesgos de hardware, de red y de gestión de claves, además del riesgo contractual.
• Medidas de mitigación: pregúntese si el componente blockchain aporta valor añadido en comparación con una base de datos o API convencional.

Relevancia cultural

El hackeo de la DAO es uno de los eventos más comentados en la historia de Ethereum. Dividió a la comunidad entre la idea de que "el código es ley" y la intervención de la comunidad, y esta división aún influye en cómo se habla de la inmutabilidad.

Los defensores de Ethereum Classic señalan este incidente como motivo para mantener el historial de la cadena de bloques sin cambios. Los defensores de Ethereum, por su parte, lo interpretan como un caso en el que la comunidad protegió a los usuarios de una clara vulnerabilidad. Ambas posturas siguen siendo objeto de debate hoy en día.

El suceso también impulsó la seguridad de los contratos inteligentes hacia el público general. Las empresas de auditoría, los programas de recompensas por la detección de errores y las herramientas de verificación formal proliferaron en los años siguientes, aunque el ciberataque fue uno de los varios factores que lo desencadenaron.

Ejemplos del mundo real

1. La venta colectiva de DAO

• Escenario: Un grupo de desarrolladores quiere un fondo de inversión gobernado por los poseedores de tokens, no por un gestor.
• Implementación: Slock.it se encarga de la creación de los contratos y la venta de tokens. Más de 11,000 participantes aportan aproximadamente 12 millones de ETH.
• Resultado: La venta se convierte en la mayor campaña de financiación colectiva de su época, pero el contrato es explotado en cuestión de semanas.

2. El exploit y la bifurcación

• Escenario: Un atacante encuentra la vulnerabilidad de reentrada en splitDAO.
• Implementación: El atacante drena repetidamente ETH hacia una DAO secundaria. La comunidad debate las opciones y realiza una votación sobre la criptomoneda.
• Resultado: Ethereum se bifurca en el bloque 1,920,000. Los fondos se destinan a un contrato de recuperación y la cadena antigua continúa como Ethereum Classic.

3. Informe de investigación de la SEC

• Escenario: Los reguladores examinan si los tokens DAO se ofrecieron de conformidad con la legislación sobre valores.
• Implementación: La SEC aplica la prueba de Howey a la venta de tokens.
• Resultado: La agencia concluye que los tokens eran valores y emite una advertencia al mercado, pero no emprende ninguna acción legal contra The DAO.

4. Incubado para IoT

• Escenario: Un pequeño dispositivo necesita confirmar que se realizó un pago o una reserva en Ethereum sin almacenar la cadena.
• Implementación: Un cliente de Incubed solicita datos y pruebas a los nodos registrados y verifica los resultados localmente.
• Resultado: El dispositivo obtiene una respuesta verificada con un mínimo de almacenamiento. La propia publicación de Slock.it describe un caso de uso para la verificación de reservas.

Tabla de comparación

Términos relacionados

• El DAO — El fondo de inversión en Ethereum de 2016 creado por Slock.it que fue víctima de una estafa semanas después de la venta de sus tokens.
• Organizacion Autonoma Descentralizada (DAO) — Una organización cuyas reglas y tesorería se gestionan mediante contratos inteligentes y votos de los poseedores de tokens.
• Ataque de reentrada — Una vulnerabilidad en la que se vuelve a llamar a un contrato antes de que actualice su estado.
• Tenedor duro — Un cambio de protocolo que no es compatible con versiones anteriores y que puede dividir una red si algunos participantes no actualizan su protocolo.
• Ethereum Classic (ETC) — La cadena que continuó sin el cambio de estado de 2016.
• Auditoría inteligente de contratos — Una revisión independiente del código del contrato para detectar fallos de seguridad.
• Incubado (IN3) — Slock.it es un cliente sin estado para el acceso verificado a la cadena de bloques en dispositivos con recursos limitados.
• Howey Test — La prueba legal estadounidense que se utiliza para decidir si un acuerdo es un contrato de inversión.

Preguntas Frecuentes

P: ¿Qué era Slock.it?

Slock.it era una empresa alemana de blockchain fundada en 2015 por Christoph Jentzsch, Simon Jentzsch y Stephan Tual. Desarrolló herramientas basadas en Ethereum para conectar dispositivos físicos a blockchains y creó los contratos para The DAO. Fue adquirida por Blockchains, LLC en junio de 2019.

P: ¿Qué era exactamente la DAO?

La DAO era un contrato inteligente en Ethereum que funcionaba como un fondo de capital riesgo gobernado por los poseedores de tokens. Los participantes enviaban ETH, recibían tokens DAO y votaban sobre propuestas de financiación. Recaudó aproximadamente 12 millones de ETH de más de 11 000 inversores.

P: ¿Qué es un ataque de reentrada?

Se trata de una vulnerabilidad en la que un contrato envía valor o llama a código externo antes de actualizar sus propios registros. El código externo vuelve a llamar y repite la acción. En el caso de The DAO, el atacante utilizó el splitDAO La función consumió aproximadamente 3.6 millones de ETH antes de que se actualizaran los saldos.

P: ¿Se realizó una auditoría a la DAO?

Se realizó una revisión limitada. Slock.it publicó los resultados de una revisión de seguridad de cinco días realizada por Deja Vu Security antes de la venta, y los investigadores expresaron públicamente sus preocupaciones en mayo y junio de 2016. La revisión y las advertencias no impidieron la vulnerabilidad, por lo que "sin auditar" no es una descripción precisa, pero la revisión no fue suficiente para proteger el fondo.

P: ¿Por qué Ethereum se bifurcó en lugar de aceptar el ataque?

Los partidarios argumentaron que la bifurcación protegía a los inversores y a la joven red. Los detractores argumentaron que cambiar la cadena para revertir una transacción violaba el principio de que los resultados escritos en el código deben mantenerse. Una votación en criptomonedas favoreció la bifurcación con una mayoría aproximada del 80 % al 89 %, según la fuente, aunque solo participó una pequeña parte de ETH.

P: ¿La SEC investigó a The DAO?

Sí. En julio de 2017, la SEC publicó un informe de investigación en el que concluía que los tokens de DAO eran valores según la prueba de Howey. La agencia no emprendió acciones legales contra The DAO.

P: ¿Qué pasó con Slock.it después de The DAO?

La empresa centró su atención en la infraestructura de IoT basada en Ethereum, especialmente en Incubed. En junio de 2019, Blockchains, LLC anunció la adquisición de la compañía y su compromiso de apoyar el desarrollo de Incubed.

Conclusión

El legado de Slock.it está ligado principalmente a The DAO: una de las primeras pruebas de recaudación de fondos y gobernanza descentralizadas que también demostró lo costoso que puede ser un solo fallo contractual. Las lecciones siguen vigentes. Verifica qué abarca una auditoría, lee las propuestas de gobernanza antes de votar y trata el código y las decisiones de la comunidad como capas separadas que pueden fallar.

Esta información tiene fines educativos únicamente y no constituye asesoramiento financiero ni legal. Los criptoactivos conllevan riesgos significativos.

Fuentes

GlobeNewswire: Blockchains adquiere Slock.it

El Bloqueo: El hackeo de DAO a los 10 años

Libro de Ethereum: cronología de la historia de las bifurcaciones

Wiki de DAO: bifurcación dura y retirada

Blog de Slock.it: Incubed

Wiki de Incubed

Conocimiento de la UE para la política: perfil de Slock.it

Cointelegraph: Los bonos del Tesoro de DAO superan los 25 mil millones de dólares.

Informe de investigación de la SEC, comunicado n.° 81207 (25 de julio de 2017)

F