Ataque de Reentrada.

Explotacion de un contrato inteligente en la que una llamada externa permite al atacante volver a entrar en la funcion antes de actualizar el estado, drenando los fondos en bucle. Pertenece a la categoría de Web3 y blockchain en ciberseguridad.

Explotacion de un contrato inteligente en la que una llamada externa permite al atacante volver a entrar en la funcion antes de actualizar el estado, drenando los fondos en bucle.

La reentrada ocurre cuando un contrato envia ETH o tokens a una direccion externa (mediante call, transfer o un hook ERC-777) antes de actualizar su contabilidad interna. El atacante controla esa direccion y, en el callback, invoca de nuevo la funcion de retirada, repitiendo el ciclo hasta vaciar el contrato. Existen variantes mono-funcion, entre funciones, entre contratos y de solo lectura. Las mitigaciones incluyen el patron checks-effects-interactions, el ReentrancyGuard de OpenZeppelin, los disenos pull-payment y evitar llamadas de bajo nivel a contratos no confiables. El ataque de 2016 a The DAO es el ejemplo canonico y motivo el hard fork que separo Ethereum y Ethereum Classic.

Las defensas contra Ataque de Reentrada combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Llamada recursiva maliciosa.