Red Tor podría proteger a validadores de Ethereum, pero aún deja riesgos de ataques dirigidos

Un informe técnico de Muhammad Umar Janjua, Akshaya Mani, Uğur Şen y Daniel Kaiser evaluó Tor push, un mecanismo diseñado para ocultar la relación entre la identidad pública de validadores de Ethereum y sus direcciones IP. La prueba en Nimbus y Goerli mostró mejoras de privacidad con una latencia adicional considerada tolerable, aunque también reveló riesgos abiertos.
***

• El prototipo operó 10 validadores basados en Tor push en el cliente Nimbus y envió mensajes a la red de prueba Goerli.
• La prueba con 10 validadores registró una latencia promedio de 1.492,15 ms frente a 878,33 ms en comunicación directa, con una sobrecarga de 613,82 ms.
• Los autores advirtieron riesgos como deanonymización por guardias de Tor, ataques DoS dirigidos, correlación de tráfico y exposición en el descubrimiento de pares.

 

---

La privacidad de los validadores de Ethereum vuelve al centro del debate técnico. Un informe reciente evaluó si Tor puede ayudar a ocultar la ubicación de estos actores clave, que sostienen el consenso de la red y participan en tareas como attestations, agregaciones y propuestas de bloques.

El trabajo, titulado Techreport: Evaluating Tor-based Location Privacy for Ethereum Validators, fue elaborado por Muhammad Umar Janjua, Akshaya Mani, Uğur Şen y Daniel Kaiser, del Institute of Free Technology. Su foco no es la privacidad financiera de usuarios, sino un punto más específico: evitar que una identidad pública de validador pueda vincularse con una dirección IP.

Ese vínculo puede parecer técnico, pero tiene consecuencias directas para la seguridad de Ethereum. Si un atacante sabe qué validador propondrá un bloque y conoce su IP, puede intentar interrumpirlo justo en su ventana de acción. En Ethereum, cada slot dura 12 segundos, por lo que un ataque breve puede tener impacto.

Por qué importa ocultar la IP de un validador

Los validadores de Ethereum cumplen funciones esenciales dentro del consenso proof-of-stake. Emiten attestations, participan en agregaciones y, cuando les corresponde, proponen bloques. Esas tareas ocurren en momentos determinados y, por diseño, parte de esa actividad puede observarse en la red.

Según los autores, correlacionar la IP de un validador con su identidad pública abre la puerta a ataques de red. Entre ellos figuran ataques DoS y DDoS, retrasos deliberados, riesgos para la finalidad de la cadena y explotación de estrategias vinculadas al MEV. También mencionan amenazas como ataques Sybil, eclipse attacks y validator sniping.

El problema se agrava porque Ethereum publica el calendario de slots. Un atacante no necesita sostener una ofensiva durante horas. En algunos casos, puede actuar solo durante la ventana en la que un validador debe proponer un bloque o cumplir una obligación concreta.

La investigación se concentra en la “unlinkability”, o desvinculación, entre la IP y la identidad del validador. No promete anonimato total. Busca elevar el costo de rastrear el origen de los mensajes que un validador envía hacia la red P2P de Ethereum.

Qué es Tor push y cómo se integra con Ethereum

Tor push es un mecanismo de diseminación de mensajes que usa Tor para enviar tráfico originado por validadores antes de que llegue a la capa GossipSub. Su diseño mantiene compatibilidad con el stack P2P existente de Ethereum. Por eso no exige cambios en la semántica de los mensajes de GossipSub.

El sistema separa dos puntos de conexión dentro del nodo beacon. Uno opera sin Tor y se usa para descubrimiento de pares. El otro se reserva para tráfico por Tor. Esa separación resulta crítica, ya que mezclar ambos canales permitiría correlacionar actividad y romper parte de la protección buscada.

En el modelo descrito, el endpoint sin Tor no debe originar ni retransmitir mensajes de protocolo del validador. Tampoco debe funcionar como canal de respaldo para tráfico de Tor push. A su vez, el endpoint Tor no debe suscribirse a tópicos de pub-sub ni participar en descubrimiento de pares.

Tor push opera por épocas de 10 minutos. En cada época, el validador preestablece un conjunto de circuitos Tor durante la época anterior. Cada circuito usa tres relays de Tor, en línea con el funcionamiento estándar de esa red. Esto reduce la latencia al momento de transmitir y mejora la tolerancia frente a fallas de circuitos.

Los mensajes usan el mismo identificador de protocolo y el mismo formato de cable que el tráfico estándar de GossipSub. Incluyen campos como identidad del emisor, payload, número de secuencia, tópico y material opcional de firma. Esa decisión permite que nodos que no conocen Tor push puedan recibir y procesar mensajes sin modificaciones.

La prueba en Nimbus y Goerli

El equipo implementó un proof-of-concept funcional en el cliente Nimbus de Ethereum. Nimbus es un cliente liviano orientado a eficiencia de recursos. En la prueba, un nodo beacon de Nimbus integró Tor para transmitir attestations y bloques hacia una red activa de prueba.

El despliegue operó sobre Goerli, una red de prueba de Ethereum. Los autores indican que mantuvieron el despliegue entre el 5 de octubre y el 21 de octubre de 2023. El estudio se realizó en 2024, con base en ese despliegue.

La implementación evaluó 10 validadores basados en Tor push sobre un solo nodo beacon. El informe también analiza un caso de un único validador. En ambos escenarios, el objetivo fue medir el costo de latencia y la efectividad de las attestations.

Aunque el resumen del informe menciona que el prototipo pudo empujar attestations, agregaciones y propuestas de bloques por Tor hacia Goerli, la evaluación cuantitativa de desempeño se centró en attestations. Los autores dejaron el análisis de rendimiento de propuestas de bloque para trabajos futuros.

Resultados: más privacidad con latencia tolerable

En el caso de un solo validador, Tor push añadió una sobrecarga promedio de 238,41 milisegundos. La latencia promedio con Tor fue de 1.101,92 milisegundos. La comunicación directa registró 863,51 milisegundos para 78 attestations de distintos tamaños.

La prueba con 10 validadores mostró una diferencia mayor. Las attestations basadas en Tor registraron una latencia promedio de 1.492,15 milisegundos. La red normal marcó 878,33 milisegundos. Eso implica una sobrecarga de 613,82 milisegundos.

Los autores consideran que ese costo no compromete el rendimiento general de la red. Su conclusión apunta a que Tor puede integrarse al entorno existente de Ethereum con una penalización tolerable, mientras mejora la privacidad de ubicación de los validadores.

El informe también midió la efectividad de attestations. Un validador basado en Tor alcanzó una efectividad de 90%. En la prueba con 10 validadores, la efectividad promedio fue de 82,5%.

Durante el periodo analizado, se registraron 9.548 attestations exitosas. La fracción de attestations perdidas fue de 0,23%. Además, el informe comparó su validador basado en Tor con los seis principales validadores no basados en Tor del leaderboard de Nimbus y observó un desempeño casi comparable.

Riesgos que Tor push todavía no resuelve

El informe no presenta Tor push como una solución perfecta. Al depender de Tor, también hereda vulnerabilidades conocidas de esa red. Los autores analizan ataques potenciales y describen mitigaciones, algunas todavía pendientes.

Uno de los riesgos más importantes es la deanonymización mediante guardias de Tor. En redes anónimas genéricas, un atacante suele necesitar controlar nodos de entrada y salida. En Ethereum, el calendario público de slots cambia esa dinámica. Si un guardia malicioso observa tráfico desde una IP y lo correlaciona con una acción pública del validador, puede inferir identidad con menor costo.

Otro riesgo es la interrupción dirigida de guardias. Si un atacante identifica el guardia de un validador, puede atacarlo justo antes del slot asignado. El informe advierte que reconstruir circuitos puede tomar decenas de segundos o incluso varios minutos. Eso excede con facilidad la ventana de 12 segundos de Ethereum.

También aparece la correlación de extremo a extremo. En Tor tradicional, este ataque suele requerir análisis estadístico de tráfico. En Ethereum, la agenda pública de actividades reduce la incertidumbre. Las ventanas temporales son conocidas de antemano.

La huella de tráfico es otro frente sensible. Los validadores producen patrones reconocibles, con attestations regulares y propuestas en slots programados. El informe señala que técnicas de padding y mensajes dummy podrían mitigar este riesgo, pero las deja como trabajo futuro.

El descubrimiento de pares sigue siendo un punto débil

La implementación actual mantiene el descubrimiento de pares fuera de Tor. Esto expone la IP real del validador durante esa fase. Además, consultar específicamente por pares capaces de Tor push puede revelar intención de anonimato.

Los autores describen una vulnerabilidad llamada “discovery-connect anomaly”. Un nodo de descubrimiento malicioso podría asignar puertos únicos a cada IP solicitante. Luego, cuando el mismo solicitante se conecta por Tor a ese puerto, el atacante podría vincular la conexión Tor con la IP original.

La mitigación propuesta es mover también el descubrimiento de pares a Tor. Esa mejora figura como trabajo futuro. El informe reconoce que el despliegue de prueba ocurrió durante una fase inicial, con pocos validadores usando Tor push y, por tanto, con un conjunto de anonimato pequeño.

Otro punto discutido es el sistema de reputación de GossipSub. Los peer scores ayudan a defender la red contra spam y ataques Sybil. Sin embargo, actores maliciosos podrían manipularlos para hacer que nodos beacon legítimos terminen bloqueados, lo que perjudicaría la propagación de mensajes de validadores.

Los investigadores proponen explorar cambios al protocolo de peer scoring. Una alternativa sería limitar o ralentizar nodos en lugar de bloquearlos por completo. Pero aclaran que esa solución requiere más análisis.

Cómo encaja frente a otras soluciones de privacidad

El informe también revisa otras técnicas para mejorar la privacidad de validadores. En la capa de red aparecen Tor u onion routing, mixnets, Dandelion y Dandelion++. También menciona I2P como una vía poco explorada que podría evaluarse en el futuro.

Las mixnets, como NYM y HOPR, buscan ocultar la relación entre emisor y receptor mediante nodos intermediarios. Pueden incluir tráfico de cobertura, mezcla temporal y múltiples saltos. Su reto principal está en equilibrar escalabilidad, eficiencia y latencia dentro de una red blockchain.

Dandelion y Dandelion++ surgieron en el contexto de Bitcoin para dificultar la vinculación entre transacciones e IP de origen. Funcionan con una fase de anonimato y una fase de difusión. Sin embargo, el informe destaca que estudios previos cuestionan sus garantías de unlinkability.

En la capa de consenso, los autores revisan Distributed Validator Technology, Secret Single Leader Election y Secret Non-single Leader Election. DVT distribuye tareas entre co-validadores y usa firmas umbral, pero no ofrece anonimato completo. SSLE y SnSLE siguen en fase de investigación y no cuentan con una implementación especificada en el informe.

Un avance práctico, no una solución definitiva

La principal contribución del trabajo está en pasar de la teoría a una prueba desplegada. Estudios anteriores habían analizado onion routing para Ethereum desde una perspectiva conceptual. Este informe aporta una implementación en Nimbus y mediciones sobre una red de prueba activa.

Los resultados sugieren que Tor push puede mejorar la privacidad de ubicación sin añadir una latencia prohibitiva. Aun así, el propio informe muestra que la seguridad de validadores requiere más que enrutar mensajes por Tor. También exige aislamiento estricto de endpoints, cambios en descubrimiento de pares y defensa contra correlaciones temporales.

Para Ethereum, el desafío es especialmente delicado. La red necesita transparencia para coordinar su consenso, pero esa transparencia puede ayudar a atacantes que buscan interrumpir validadores. Tor push intenta equilibrar ambas necesidades sin modificar el consenso.

Los autores plantean próximos pasos claros. Quieren ampliar la evaluación de latencia a propuestas de bloques y agregaciones en distintas ubicaciones geográficas. También planean mover la fase de descubrimiento a Tor y cuantificar las garantías de anonimato mediante ataques reales contra la implementación.

La conclusión es prudente. Tor push no elimina todos los vectores de ataque, pero ofrece una vía incremental para proteger la ubicación de validadores. Si futuras pruebas confirman sus resultados y cierran las brechas pendientes, Ethereum podría ganar una capa adicional de resiliencia frente a ataques dirigidos.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.