Después de que se cerró la billetera web Banano Vault, el equipo de Banano estuvo ayudando a varios usuarios a recuperar/transferir sus fondos de Vault a la billetera web TheBananoStand, que se mantiene activamente.

• Se descubrió que varios usuarios habían utilizado semillas inseguras para Vault; por ejemplo, utilizando una dirección de BAN como semilla, que es completamente insegura y cualquiera puede explotarla para obtener acceso completo a la billetera. Vault no tenía suficientes controles de validación para evitar esto (mientras que otras billeteras de Banano como Kalium y TheBananoStand sí las tienen).
• Las semillas generadas por Vault todavía se consideran seguras y pueden usarse en otras billeteras. El problema sólo afecta a quienes importaron una semilla insegura a Vault.
• El equipo de Banano identificó que se trataba de un problema mucho mayor y decidió asegurar la mayor cantidad posible de BAN de estas billeteras antes de que alguien más se quedara con estos para obtener ganancias. Varios actores desconocidos identificaron el mismo problema casi al mismo tiempo y también comenzaron a retirar fondos de esas billeteras inseguras.
• El equipo de Banano recuperó más de 800.000 BAN de más de 500 cuentas, mientras que los actores desconocidos recuperaron más de 240.000 BAN de más de 400 cuentas.
• Para aquellos que han usado semillas inseguras (en cualquier forma) para sus billeteras, transfieran inmediatamente los fondos a una nueva billetera. Kalium y TheBananoStand tienen controles más estrictos para las semillas.
• Si los fondos han sido drenados, verifica dónde se enviaron.
  Si los fondos fueron enviados a la billetera del equipo de Banano (detalles a continuación), comunícate con nosotros. Si se puede demostrar la propiedad anterior, intentaremos devolver los fondos siempre que sea posible.
• ¡Recuerda siempre asegurarte de utilizar contraseñas/semillas seguras, etc., y seguir las mejores prácticas de seguridad para tus criptos!

Conceptos básicos de la generación de cuentas:

Una semilla se crea como un valor de 32 bytes generado aleatoriamente de forma segura en forma de una cadena hexadecimal en mayúsculas de 64 caracteres.
Las claves privadas son un valor de 32 bytes en forma de una cadena hexadecimal en mayúscula derivada de manera determinista de la semilla y un valor de índice entero.
Una clave pública es un valor de 32 bytes en forma de cadena hexadecimal derivada de la clave privada.
Una dirección se compone de “ban_” seguida de la clave pública codificada en formato base32 (52 caracteres) seguida de un hash de la clave pública (8 caracteres).
Lee más sobre la generación de billeteras en Nano Docs aquí .

Qué pasó:

La única verificación de validez de la semilla de Vault fue que tenía 64 caracteres, no verificó que el formato de la semilla estuviera en formato hexadecimal. Por coincidencia, la longitud de una dirección, clave pública y clave privada y hashes de transacción tienen 64 caracteres.

Como resultado, se identificó que algunos usuarios habían estado usando direcciones de Banano como semilla en Vault. Esto se descubrió el 8 de enero de 2024 después de que Vault se cerrara mientras se intentaba ayudar a algunos usuarios a recuperar sus semillas en un canal público en el servidor Banano Discord. Durante la sesión de clasificación no se compartieron semillas. Después de varias instancias de ayudar a las personas a recuperar sus semillas, notamos el problema recurrente de que se había importado una dirección como una semilla y no como la semilla generada de forma segura por Vault. Tomamos la decisión de eliminar la discusión sobre las direcciones como semillas antes de que un usuario malintencionado viera lo que estaban haciendo los usuarios y se aprovechara.

Como las direcciones se consideran información pública y hay formas de identificar cada dirección en uso, como precaución, el equipo decidió intentar asegurar los fondos almacenados en billeteras usando una dirección como semilla antes de que alguien más lo hiciera. Ingresamos todas las direcciones de Banano en la función de generación de semillas utilizada por Vault para generar las billeteras utilizadas y enviamos los fondos a una dirección central para devolverlos a los usuarios una vez que se pueda realizar la verificación, con la esperanza de hacer esto antes de que alguien más lo haga y la semilla pueda seguir considerándose segura a efectos de verificación. Logramos recuperar casi 900.000 BAN de más de 500 cuentas que utilizaban semillas inseguras, lo que pareció un buen resultado. Muchas de las cuentas tampoco se habían abierto nunca, probablemente debido a que eran semillas no válidas y nunca se volvió a acceder a ellas y se consideraron perdidas.

Desafortunadamente, mientras estábamos procesando las cuentas (lo que lleva algún tiempo), se descubrió que alguien más también había comenzado a hacer lo mismo poco después de la discusión en el servidor de Discord. Un usuario desconocido tomó 240.000 BAN de más de 400 cuentas y 8 Nano de 18 cuentas. Desde entonces, este usuario vendió el Nano, pero todavía tiene los BAN, por lo que esperamos que pueda devolver estas monedas. También se ha identificado a un segundo usuario desconocido tomando BAN de cuentas con semillas inseguras tomando una pequeña cantidad de 24 cuentas.

¿Qué sigue?

TheBananoStand y Kalium realizan una validación de entrada adecuada en las semillas, por lo que los usuarios no deberían poder ingresar algo tan inseguro como una dirección como una semilla. Migra a esas billeteras. Si no realizaste una copia de seguridad de tu semilla desde Vault (y no borraste la memoria caché de tu navegador), ahora existe un sistema de recuperación para recuperarla del almacenamiento local en https://vault.banano.cc. Nano Vault también se vio afectado por esto, sin embargo, Nault solucionó esto como parte de este problema en Github en 2021.

Las direcciones de Banano son sólo una de las muchas semillas inseguras que podrían haberse utilizado. Si crees que puedes haber utilizado algo más que no es seguro, como un hash de transacción o letras aleatorias con un total de 64 caracteres, mueve tus fondos inmediatamente a una nueva billetera. Hemos observado que algunos usuarios siguen enviando recompensas a direcciones comprometidas.

Si eres un afectado:

Si tu cuenta es una de las afectadas, verifica a qué dirección se enviaron tus fondos. La billetera creada por el equipo de Banano como lugar de almacenamiento es ban_1rec1ag4gcf6uxeno9xi8hipjh3ictt6wk1pu4hk5wh5836gfxnd75dfzmsm y si se puede demostrar la propiedad (comunícate a través de Discord, envía un correo electrónico a help(at)banano.cc o el formulario de contacto en banano.cc), te devolveremos los fondos. Como la semilla insegura ahora se considera comprometida, esto no se puede utilizar como verificación. Buscaremos cosas como enlaces tipbot o evidencia de retiros de exchanges.

A los propietarios de las cuentas ban_11biatz4g9t4d1i3tbtyfyt8kg8518krzojg9g3xxzpqtg9dfnzskcwwaog4 y ban_3ay7krtq3598co3wobzo8jus7wku5gnzmh571yx37mbh6a4jduffzhwbmhm6, envíen los BAN a ban_1rec1ag4gcf6uxeno9xi8hipjh3ictt6wk1pu4hk5wh5836gfxnd75dfzmsm para evitar una mayor investigación sobre ustedes.

Desde el Equipo Banano lamentamos sinceramente las pérdidas de fondos. Intentaremos devolver los fondos siempre que sea posible.

¡Recuerda utilizar contraseñas/semillas seguras y seguir las mejores prácticas de seguridad para tus criptos!

Espera, pero ¿Qué es BANANO?

Para aquellos de ustedes que aún no conocen BANANO, ¡obviamente les será perfecto leer nuestro Yellowpaper animado, rico en memes e interactivo! BANANO es una criptomoneda (bifurcada de NANO en abril de 2018) impulsada por la tecnología DAG, que llegó para disrumpir la economía de los memes. ¡Sí, BANANO tiene memes! ¡Y también transacciones ilimitadas y casi instantáneas, una comunidad altamente entusiasta y un desarrollo técnico activo! La comunidad de BANANO no se toma las cosas demasiado en serio, pero estamos aquí a largo plazo y disfrutamos lo que hacemos. Además de esto, BANANO es súper fácil de usar y pone énfasis en la distribución gratuita y justa, la gamificación y la educación criptográfica.

Mira el precio actual de BANANO y los datos de mercado en Coingecko o Coinmarketcap. Todos los pares actuales y exchanges aquí.

¡Únete a la República de BANANO!

BANANO ($BAN) es una criptomoneda de pago, instantánea, rica en potasio, impulsada por la tecnología DAG, que disrumpe la economía de los memes.

Sitio Web Oficial: banano.cc
Yellowpaper: banano.cc/yellowpaper
Ayuda para comenzar: banano.how
Noticias de la Comunidad: The Daily Peel

Únete a nuestras plataformas/redes sociales para actualizaciones y giveaways:

Principales:
Discord | Reddit |Telegram
Medium | Steemit | Publish0x | Uptrennd
Twitter | Instagram | Facebook | Hive
Youtube | Github | BitcoinTalk | TikTok
Español:
Discord (canal la-jungla) | Facebook | Instagram
LBRY | Publish0x | Reddit | Telegram
Telegram (canal de noticias) | Twitter | Youtube | TikTok

Visión General:
BANANO Noticias | BANANO Enlaces | BANANO Eventos