Дослідницька група dWallet Labs виявила вразливість нульового дня в облікових записах Tron multisig, що дозволяє зловмиснику обійти механізм мультипідпису та підписувати транзакції одним підписом.
У дописі про технічну несправність дослідницька група заявила, що вразливість могла вплинути на активи на суму 500 мільйонів доларів, що зберігаються на облікових записах Tron multisig. Це пояснюється тим, що це дозволяє будь-якому підписанту «повністю подолати безпеку кількох підписів, яку пропонує TRON».
0d, our superstar cybersecurity research team, discovered a vulnerability in TRON multisig accounts putting over $500M of digital assets at risk – it was disclosed and fixed so there are no user assets at risk now.
A technical breakdown:https://t.co/nMj6kV6Oc3
— dWallet Labs (@dWalletLabs) May 30, 2023
Як випливає з назви, мультипідписні гаманці вимагають кількох підписувачів, визначених в обліковому записі, для схвалення транзакцій і переміщення коштів, що дозволяє створювати спільні рахунки в криптовалюті. Кожен підписувач облікового запису має власні ключі, і обліковий запис вимагає певного порогу для схвалення транзакцій.
Згідно з дослідницькою групою, уразливість у Multisig Tron дозволяє генерувати багато дійсних підписів. Вони написали:
«Ми можемо обійти процес багатопідписної перевірки, підписавши те саме повідомлення недетермінованими нонсами на наш вибір. Роблячи це, ми зможемо створити багато дійсних різних підписів для того самого повідомлення за допомогою того самого закритого ключа».
За словами команди з кібербезпеки, Tron гарантує унікальність підписів замість того, щоб перевіряти, чи є підписанти унікальними. Через це підписувачі потенційно можуть «подвійно проголосувати» або підписати двічі. Омер Садіка, генеральний директор dWallet Labs, сказав, що виправлення просте: перевірте адресу замість кількості підписів.
Дослідники відзначили, що про вразливість було повідомлено в Tron у лютому та виправлено через декілька днів.
За темою: Джастін Сан вибачився після конфлікту Sui LaunchPool із генеральним директором Binance
Cointelegraph звернувся до Tron за коментарями, але не отримав відповіді.
Інші новини: інший децентралізований фінансовий протокол нещодавно постраждав від експлойту на 7,5 мільйона доларів.28 травня компанія з безпеки блокчейнів PeckShield повідомила, що протокол Jimbos на базі Arbitrum був зламаний, що призвело до втрати 4000 ефірів (ETH).
Терміни в новині
- Лаунчпул (Launchpool)
- Акція біржі: користувачі блокують монети й безкоштовно отримують токени нового проєкту пропорційно до своєї частки в пулі.
- Мультипідпис (multisig)
- Адреса чи гаманець, для витрати коштів з якого потрібні підписи кількох ключів, наприклад двох із трьох.
- Транзакція
- Операція в блокчейні: переказ монет або виклик смарт-контракту, підписаний ключем відправника. Стає незворотною після підтвердження в блоці.
- Експлойт (exploit)
- Атака, що використовує помилку в коді смарт-контракту чи протоколу, щоб вивести кошти. На відміну від зламу ключів, зловмисник діє «за правилами» вразливого коду.
