Payy es una plataforma diseñada para facilitar la banca autosoberana a través de las criptomonedas, que ofrece un enfoque simplificado y seguro para los servicios financieros que tradicionalmente gestionan los bancos. Payy facilita el envío de stablecoins, la obtención de rentabilidad y simplifica el uso de las finanzas descentralizadas (DeFi). Incorpora una tecnología zk-rollup adaptada a aplicaciones que requieren privacidad y escalabilidad en los pagos y en el ámbito de las finanzas descentralizadas (DeFi).

El ecosistema de Payy se compone de tres partes. En primer lugar, está Payy Network, una aplicación de zk-rollup que mejora la privacidad y la escalabilidad de los pagos y las finanzas descentralizadas (DeFi). En segundo lugar, Payy Wallet es un monedero móvil sin custodia que ofrece una experiencia de usuario innovadora y una stablecoin. Por último, Payy Intents es un proxy sin custodia para préstamos, creación de mercado y (re)staking en cualquier protocolo y cadena. 

Payy supera a las plataformas de intercambio centralizadas porque no actúa como custodio, y los usuarios pueden acceder a protocolos de DeFi de alto rendimiento, staking y préstamos. El objetivo de Payy es reinventar las carteras desde cero para que se parezcan a una aplicación bancaria. 

‍

La auditoría de AuditOnes se centra en la versión actualizada del contrato de Roullup.

Retos a los que nos enfrentamos

‍

El equipo de auditoría de AuditOne detectó algunos problemas en el contrato inteligente RollupV6.sol, todos los cuales se han resuelto; el informe completo se puede consultar aquí. 

‍

‍

Vulnerabilidad detectada: un usuario incluido en la lista negra puede anular el proceso de verificación de bloqueos

Uno de los principales problemas detectados por el equipo de auditoría de contratos inteligentes de AuditOne fue que los usuarios incluidos en la lista negra de USDC pueden revertir el proceso de verificación de bloques. Las direcciones de monedero de USDC incluidas en la lista negra pueden interrumpir el proceso de verificación de bloques en el contrato inteligente RollupV6.sol. Se trata de un problema grave, ya que puede bloquear la verificación y afectar al sistema de rollup. Un rollup es un mecanismo para escalar Ethereum que agrupa varias transacciones con el fin de mejorar la eficiencia. 

La dirección de monedero incluida en la lista negra puede dificultar la verificación de bloques en el sistema rollup. Esto podría provocar una situación de denegación de servicio (DoS), lo que impediría que todo el sistema siguiera funcionando. 

La función encargada de esto es «executeBurnToRouter», que se ocupa de quemar los tokens USDC, destruyéndolos de forma efectiva. Al interactuar con una ruta externa, la llamada a la ruta falla y los tokens se transfieren a una dirección de respaldo, «returnAddress». El principal problema aquí es que la dirección «returnAddress» figure en la lista negra del contrato del token USDC. Cualquier token transferido a una dirección incluida en la lista negra provocaría un error y haría que la transacción se revirtiera, lo que, en esencia, la cancelaría. 

Esta función la ejecuta un verificador para validar un bloque en un rollup. Si la transferencia falla debido a una dirección incluida en la lista negra, el proceso de validación del bloque fracasará por completo. Esto puede impedir que se añadan nuevas transacciones, lo que provocaría la paralización del sistema rollup. Los atacantes podrían establecer intencionadamente una dirección de retorno («returnAddress») en la lista negra para aprovechar esta vulnerabilidad e impedir deliberadamente el funcionamiento del sistema.  

Solución recomendada: Implementar la verificación de la lista negra

El contrato inteligente no comprueba si la dirección de destino (returnAddress) figura en la lista negra antes de iniciar la transferencia de tokens USDC a ella. Sin esta comprobación, los contratos ejecutarían la transferencia y fallarían si la dirección figurara en la lista negra.

Una posible solución sería utilizar una función llamada `requireNotUSDCBlacklisted` para verificar el estado de la dirección antes de realizar la transferencia y evitar así que esta falle de forma inesperada. Al abordar este problema, el sistema rollup puede evitar que las direcciones incluidas en la lista negra perturben su funcionamiento, garantizando así la estabilidad y la fiabilidad de los procesos de verificación de bloques.

‍
La seguridad no solo protege el código, sino también a tus clientes, tu reputación y tu futuro. Tanto si estás desarrollando un videojuego, un DEX o una aplicación DeFi, AuditOne está aquí para garantizar que tus contratos inteligentes sean a toda prueba.

Vamos a proteger tu proyecto Web3 para que puedas centrarte en crear algo mágico.

Reserva tu consulta gratuita sobre seguridad:

Google Calendar: https://calendar.app.google/Ai15eyQhiV5c1pBXA
Telegram: https://t.me/m_ndr

‍