Vulnerabilidad en Augur posibilita estafas en juegos de apuesta

Dos usuarios de la red social Reddit denunciaron recientemente la aparición de mercados irregulares en Augur, los cuales poseían datos inexactos que invalidaron una apuesta y beneficiaron a un estafador. Joey Krug, desarrollador de Augur, asegura que un error de configuración ha permitido estas estafas, el cual será corregido en la próxima actualización del protocolo.

El pasado martes, 19 de marzo, el usuario de Reddit u/single12222 denunció la aparición de un sistema de estafa en Augur que utiliza a su favor la invalidación de un mercado para beneficiarse indebidamente.

Según el usuario, el estafador crea un juego de apuestas con un error muy sutil en la descripción o en las fechas de cierre del mercado, procediendo a apostar unos cuantos REP en respuestas que no ganarán. Debido a que el protocolo de apuestas de Augur puede identificar si un mercado tiene datos inválidos, cancela la apuesta y distribuye equitativamente las ganancias entre los usuarios como si se tratase de un error común, sin embargo, en algunos casos se trata de una forma de engañar al sistema.

Otro usuario de Reddit, identificado como Veoxxoev, también publicó en la red social ejemplos de cómo la invalidación de un mercado por error deliberado de datos puede ser utilizada para enriquecerse indebidamente. Entre las pruebas destacó una apuesta realizada recientemente, sobre el precio de ether «al final de marzo», pero en la fecha de cierre se especifica la hora 1:59 pm (UTC-4).

Por esa discrepancia entre «el final de marzo» y la hora especificada en la fecha de cierre, dice Veoxxoev, que es «altamente probable» que el mercado se declare inválido, lo que implica que el dinero se devolverá a los participantes de forma equitativa.

Los usuarios denuncian que si el estafador apuesta varias veces en distintas preguntas, sin importar que la respuesta sea correcta o no, puede quedarse con más criptoactivos de los que apostó y los otros usuarios con menos; lo que hace rentable el fraude.

Joe Krug, desarrollador de Augur, comentó en su cuenta de Twitter que aunque esta estafa si ha ocurrido en dos ocasiones no se trata de un modelo que prolifere en la plataforma ni está siendo llevado por varios estafadores, sino por una sola dirección de Ethereum. Es decir, una sola persona está explotando la vulnerabilidad para generar ganancias.

This is kinda fake news for a few reasons. #ethereum @AugurProject

1) Almost all of these purposefully confusing markets are being created by one person, not a bunch of people. The activity on those markets is also by one person / address. https://t.co/9jLIeGqun9

— Joey Krug (@joeykrug) March 20, 2019

El desarrollador destacó que este tipo de estafas tienen solución en el protocolo de Augur por medio de un mecanismo llamado “bonos de validez”, el cual si descubre a un usuario llevando a cabo este tipo de conductas puede castigarlo disminuyendo sus ganancias y haciendo poco rentable el ataque.

Krug aseguró que esta herramienta tiene un error de configuración en la versión actual de Augur, por lo cual ha permitido que se realicen estafas de este tipo. Asimismo, anunció que la herramienta sería corregida para la próxima actualización del protocolo, Augur 2.0, e incluso se tiene pensando introducir mensajes de alerta para que los usuarios sepan identificar cuales mercados pueden tratarse de fraudes y cuáles no.

La solución no será inmediata, ya que cualquier de las dos correcciones deberá hacerse en el contrato inteligente de Augur y, por ende, en la actualización 2.0 que está pautada que se realice a finales de año. Debido a ello, los desarrolladores recomiendan a los usuarios de Augur a revisar debidamente los datos de los juegos de apuesta para evitar caer en una de estas estafas.

Imagen destacada por Klaus Eppele / stock.adobe.com