Web2 vs Web3: Hacking
Comparativa entre hacking web2 y web3: superficie de ataque, severidad del impacto, trazabilidad del atacante y velocidad de aparición de vulnerabilidades.
Tesis
La comparación entre hacking web2 y web3 no es un cambio de protocolo, sino un cambio del objeto en juego: en web2 está en riesgo la información personal; en web3, el valor financiero directo. Esa diferencia redefine la severidad del impacto, la trazabilidad del atacante y la velocidad con la que emergen las vulnerabilidades.
Desglose comparativo
| Aspecto | Web2 | Web3 |
|---|---|---|
| Lo que está en juego | Datos personales | Tokens o assets (valor financiero) |
| Severidad del impacto | Mayor severidad conforme crece el impacto sobre los datos del usuario | Pérdida financiera inmediata por acceso instantáneo a los assets |
| Trazabilidad del atacante | Fácil de rastrear en sistemas centralizados | Difícil por la naturaleza descentralizada |
| Emergencia de vulnerabilidades | Más lenta: prácticas de seguridad establecidas y maduras | Rápida: nuevos vectores de ataque introducen vulnerabilidades con frecuencia |
Trade-offs y lectura técnica
Impacto
En web2, la severidad escala con la sensibilidad y el volumen de los datos comprometidos (credential stuffing, PII exposure). En web3, la explotación es directamente monetizable en el momento: un bug en un smart contract o en el manejo de keys puede drenar tokens al instante, sin necesidad de vender datos en un mercado secundario.
Trazabilidad
Los sistemas centralizados mantienen logs, identidad y control de flujo: al atacante le cuesta más operar de forma anónima. La descentralización de web3 fragmenta la visibilidad — transacciones pseudónimas en chains públicas, sin un operador central que responda — y hace más compleja la atribución.
Emergencia de vulns
Web2 acumula décadas de prácticas maduras (OWASP, sandboxing, hardening). Web3 es más joven: la velocidad de iteración de protocolos y contratos introduce vectores nuevos (reentrancy, flash loans, oracle manipulation, signature replay) antes de que existan controles maduros.
Takeaways
- Modelo mental distinto: en web3, cada bug tiene precio de mercado en el instante; el testeo requiere priorizar invariantes financieras, no solo confidencialidad.
- Atribución como factor: la trazabilidad define el riesgo operativo del atacante y, por tanto, la postura defensiva.
- Madurez ≠ velocidad: la menor madurez de web3 es un multiplicador de riesgo; la auditoría de contratos y de lógica de valor debe integrarse al ciclo de desarrollo desde el día uno.