Коротко
- CertiK предупредила об уязвимости криптоприложений из-за проблемы с сертификатами компании eMudhra.
- Ранее Google, Apple и Microsoft заблокировали восемь уязвимых сертификатов индийского удостоверяющего центра.
- Злоумышленники могут использовать брешь для подделки HTTPS-соединений и подмены адресов депозитов пользователей.
- Инвесторам и разработчикам рекомендуется обновить ПО и проверить отклонение опасных сертификатов приложениями.
Торговые криптоботы и приложения бирж по-прежнему могут быть уязвимы к проблеме безопасности сертификатов eMudhra, несмотря на экстренные патчи от ведущих технологических компаний, сообщает блокчейн-ресурс CertiK.
К вторнику такие технологические гиганты, как Google, Apple и Microsoft, заблокировали восемь уязвимых сертификатов, выданных индийской компанией eMudhra, однако эти меры могут не защитить криптовалютные приложения, использующие автономные системы безопасности, сообщил Пейю Ван, старший директор по безопасности цифровых активов в CertiK.
Масштабные блокировки в браузерах существенно снижают риски для пользователей, которые применяют и поддерживают их, отметил Ван, добавив, что некоторые приложения вне экосистемы браузеров не проверяют прозрачность сертификатов и не получают аналогичной защиты при их отзыве.
Ван подчеркнул, что криптосервисы не имеют изначально большей уязвимости к этому сбою по сравнению с другими отраслями, однако злоумышленники могут использовать скомпрометированные сертификаты для маскировки под HTTPS-соединения, задействованные биржами, интерфейсами кошельков и API.
По словам Вана, хакеры могут выдавать себя за криптовалютные сервисы, подменяя адреса для депозитов или обманным путем побуждая пользователей подтверждать вредоносные транзакции, хотя для реализации таких атак потребуется перехват интернет-трафика пользователей, так как сами по себе скомпрометированные ключи удостоверяющего центра не раскрывают приватные ключи от кошельков.
Ван настоятельно призвал операторов криптовалютных платформ обновить свое программное обеспечение и хранилища доверенных сертификатов, а также убедиться, что их приложения отклоняют проблемные сертификаты.
Феликс Нг внес свой вклад в подготовку материала.
Термины в новости
- Приватный ключ
- Секретное число, которое даёт полный контроль над монетами на адресе. Кто знает ключ — тот распоряжается средствами.
- Блокчейн
- Распределённая база данных из последовательно связанных блоков с транзакциями. Копию хранят тысячи участников, поэтому изменить записи задним числом практически невозможно.
- Транзакция
- Операция в блокчейне: перевод монет или вызов смарт-контракта, подписанный ключом отправителя. Становится необратимой после подтверждения в блоке.
