Web3 Decoder

Web3 Decoder es una extensión de Burp Suite que ayuda a analizar qué está sucediendo con las operaciones que involucran contratos inteligentes de web3. Se trata principalmente de llamadas JSON-RPC a nodos de Ethereum y a nodos de otras redes compatibles (como Polygon, Arbitrum, BSC...).

Descarga e instalación

Descarga el JAR más reciente de la extensión — este enlace siempre sirve la versión más nueva:

⬇ web3-decoder.jar (última versión)

Las versiones anteriores están en la página de Releases.

Luego cárgala en Burp Suite:

1. Ve a Extensions → Installed → Add.
2. Configura Extension type como Java y selecciona el web3-decoder.jar descargado.
3. Haz clic en Next — la pestaña Web3 y las pestañas de editor Web3 Request/Web3 Response aparecen cuando se carga.

Requiere una versión de Burp que incluya JRE 21 (versiones actuales de Burp Suite). El JAR es autocontenido: todas las dependencias (web3j, etc.) están incluidas.

Compilación desde el código fuente

./gradlew jar

El JAR de la extensión siempre se escribe en una ruta constante — web3-decoder/build/libs/web3-decoder.jar — independientemente de la versión, por lo que puedes apuntar Burp hacia él una vez y dejar que se recargue automáticamente en las reconstrucciones. El proceso de publicación está documentado en docs/RELEASING.md.

Capturas de pantalla

Así es como se ven nuestras pestañas de editor Web3 mejoradas después de decodificar correctamente tus solicitudes y respuestas JSON-RPC:

Debajo, la pestaña Web3 rediseñada, con todos los ajustes, los ABIs detectados, ¡y mucho más! (¡Gracias, Claude Design!)

Documentación

La documentación detallada se encuentra en la carpeta docs/:

• Arquitectura — capas, componentes y los flujos clave de decodificación/codificación (con diagramas).
• Estructura del proyecto — organización de directorios y responsabilidades paquete por paquete.
• Stack tecnológico — dependencias, compilación/empaquetado, runtime y modo CLI.
• Características — catálogo completo de capacidades con referencias de implementación.

Claves de API de los exploradores de bloques

La mayoría de los exploradores de bloques compatibles, como etherscan.io, requieren una clave de API para permitir más de 1 solicitud cada 5 segundos.

La nueva interfaz te permite gestionar las cadenas, los exploradores de bloques y las claves de API.

Añadir manualmente el ABI de un contrato

La extensión almacena en caché los ABIs descargados de los exploradores de bloques como etherscan. También puedes añadirlos directamente desde la pestaña Web3, obteniéndolos automáticamente del explorador de bloques, o añadiéndolos manualmente.

Funcionalidades implementadas

• Integración con Burp
  • Pestaña de editor Web3 Request para solicitudes JSON-RPC (oculta en tráfico sin eth_call / eth_sendRawTransaction).
  • Pestaña de editor Web3 Response para las respuestas JSON-RPC correspondientes.
  • Pestaña Web3 dedicada en la suite con herramientas de cadena/ABI/calldata.
  • Filas del historial de proxy anotadas con la firma de la función decodificada en su nota (decodificadas en un hilo aparte, persistidas en la fila del historial en vivo).
• Experiencia del editor decodificado
  • Ambas pestañas de editor incluyen una vista de árbol estructurada por defecto, con la vista JSON a un clic de distancia: el JSON sigue siendo la fuente de verdad para la recodificación.
  • La vista JSON conserva el resaltado sintáctico + semántico, los números de línea, la coincidencia de corchetes, la validez en tiempo real y una barra de búsqueda.
• Decodificación de solicitudes JSON-RPC
  • Decodifica el calldata de eth_call en function + args tipados.
  • Admite cargas útiles JSON-RPC de solicitud única y por lotes.
  • Para cargas útiles por lotes, cada elemento se reporta con un estado (decoded, skipped, ) y el motivo cuando se omite o falla.

Cadenas compatibles hasta ahora

La lista completa y actual de cadenas incluidas se encuentra en web3-decoder/src/main/resources/chains.json — la extensión ahora incluye el conjunto multicadena de Etherscan v2 (Ethereum, Sepolia, BNB Smart Chain, Polygon, Base, Arbitrum, Linea, Blast, Optimism, Avalanche, Gnosis, Scroll, Taiko, Berachain y muchas más, incluidos sus testnets). La interfaz también te permite añadir tus propias cadenas en tiempo de ejecución: cualquier cadena cuyo explorador de bloques exponga APIs de estilo Etherscan funcionará. Consulta Características para obtener detalles sobre la gestión de cadenas (incluida la migración de chain IDs obsoletos).

Cómo funciona

Se envía una solicitud JSON-RPC eth_chainId al nodo en uso para detectar en qué cadena estamos trabajando y, según la cadena, se selecciona una API de explorador de bloques buscando en el archivo chains.json.

Para decodificar llamadas a funciones necesitamos el ABI (Application Binary Interface) del contrato, que contiene todas las funciones que se pueden llamar en el contrato y sus entradas y salidas. La extensión resuelve los ABIs en este orden:

1. ABI en caché para la cadena + dirección del contrato (persistencia con ámbito de proyecto de Burp).
2. ABIs integrados para contratos conocidos (p. ej., Multicall3).
3. Búsqueda en el explorador de bloques (API de estilo Etherscan) para contratos verificados.
4. Pool de ABIs detectados — ABIs que el escáner pasivo ha extraído de los bundles de frontend de las dapps, indexados por selector de función de 4 bytes. Independiente de la cadena.
5. Respaldo 4byte — búsqueda de selector → firma contra api.4byte.sourcify.dev, con un ABI sintético construido a partir de cualquier candidato coincidente.

Si no se puede determinar el chain ID (p. ej., el endpoint no responde a eth_chainId), los pasos con ámbito de cadena (1–3) se omiten y el decodificador aún intenta los pasos independientes de la cadena (4 y 5).

Servicios externos y fuentes de datos

Para decodificar el tráfico, la extensión se comunica con algunas fuentes externas. Son opcionales y puedes desactivarlas desde la pestaña Web3. Todas las solicitudes salientes se envían a través de la propia pila HTTP de Burp (api.http().sendRequest), por lo que respetan la configuración de proxy/TLS ascendente de Burp y aparecen en el tráfico de Burp.

Nota de privacidad: Las búsquedas de ABI envían la dirección del contrato al explorador de bloques configurado, y el respaldo 4byte envía el selector de función a api.4byte.sourcify.dev. Los ABIs descargados se almacenan en caché localmente para que los decodificados repetidos no vuelvan a consultar. La mayoría de los exploradores (p. ej., etherscan.io) necesitan una clave de API para más de ~1 solicitud / 5 segundos: gestiona las claves desde la pestaña Web3.

El detector pasivo de ABIs lee los cuerpos de las respuestas HTTP que Burp ya ha capturado y se ejecuta completamente en local: la detección en sí no genera tráfico.