Vitalik Buterin, cofundador de Ethereum, ha revelado que está utilizando cada vez más herramientas de línea de comandos locales en lugar de interfaces basadas en la web para actividades específicas de Ethereum. En un ensayo publicado el 31 de octubre, Buterin explicó que utilizó una herramienta generada por IA para actualizar los hashes de contenido en el Ethereum Name Service (ENS) y una cartera de línea de comandos separada para ejecutar pagos a través de protocolos de privacidad. Este cambio refleja una preocupación más amplia por las implicaciones de seguridad de depender de sitios web, que pueden entregar nuevo código de aplicación a los usuarios cada vez que visitan, creando riesgos de exposición recurrentes.

Al mantener aplicaciones locales, Buterin argumenta que los usuarios pueden retener el control sobre qué revisiones de software instalan y utilizan. Este enfoque traslada la decisión de cuándo actualizar el software del servidor al individuo, reduciendo potencialmente la superficie de ataque asociada con los entornos web dinámicos. Sin embargo, este método introduce nuevas complejidades en cuanto a la procedencia del software y la gestión de dependencias.

ETH / USD
Fuente: CoinGecko. Precios orientativos.

Compromisos de seguridad de la ejecución local

La cartera específica a la que hizo referencia Buterin, kohaku-cli, se describe en su documentación como no auditada y en desarrollo activo, con partes significativas escritas con asistencia de IA. Los desarrolladores del proyecto advierten explícitamente a los usuarios que eviten usar la herramienta en mainnet a menos que comprendan plenamente los riesgos, incluida la posibilidad de una pérdida catastrófica de fondos. Esta advertencia se aplica al nivel de la aplicación específica y no sirve como veredicto sobre los protocolos subyacentes como Tornado Cash o Railgun, que la herramienta soporta.

Según CryptoSlate, la ganancia práctica de usar una interfaz local es la capacidad de fijar una revisión específica del software. Sin embargo, esto requiere que los usuarios gestionen su propia cadena de suministro de software. El proceso de instalación implica usar npm para instalar dependencias y compilar la aplicación, lo que significa que el usuario debe confiar en la integridad de los paquetes resueltos y de las herramientas de compilación. Un nombre de proyecto familiar no garantiza que todo el código aceptado sea seguro, ya que el conjunto de dependencias y los parámetros de compilación son factores críticos en la seguridad.

Complejidades en la firma de transacciones

La mecánica interna de kohaku-cli revela diferencias matizadas entre las rutas de transacciones públicas y privadas. Para las transferencias públicas estándar, se puede realizar una simulación de prueba sin enviar la transacción, permitiendo la verificación antes de la difusión. En contraste, las operaciones privadas como el desvelado de Railgun pueden generar un UserOperation preparado que ya está firmado, incluso si se retiene la difusión. Esto significa que retener el envío no impide necesariamente que una operación firmada sea enviada más tarde por herramientas compatibles.