Fireblocks razkriva ranljivosti, ki vplivajo na 15 glavnih ponudnikov kripto denarnic

Skupina ranljivosti, imenovana »BitForge«, bi napadalcu omogočila pridobitev zasebnega ključa iz ene same naprave.

Skupina raziskovalcev podjetja Fireblocks za kripto infrastrukturo je razkrila niz ranljivosti, za katere pravijo, da vplivajo na nekatere najbolj razširjene ponudnike tehnologije večstranskega računanja (MPC).

1/ Raziskovalna skupina Fireblocks je odkrila BitForge, niz ranljivosti v nekaterih najbolj razširjenih protokolih MPC, ki napadalcu omogočajo pridobitev zasebnega ključa iz ene same naprave. Preberite → https://t.co/xo2r9zgCvj pic.twitter.com/7q1nEeVBwO

— Fireblocks (@FireblocksHQ) Avgust 9, 2023

Raziskovalci so odkritje poimenovali »BitForge«, pri čemer so nabor ranljivosti ničelnega dne opisali kot nekaj, kar bi izkoriščevalcu omogočilo izločanje zasebnih ključev uporabnika zaradi manjkajočega dokaza brez znanja v protokolih MPC GG-18 in GG-20.

Medtem je bila ranljivost, ki vpliva na protokol Lindell 17, posledica tega, da so se ponudniki denarnic oddaljili od specifikacij, navedenih v akademskem dokumentu, kar je ustvarilo stranska vrata za napadalce, da razkrijejo del zasebnega ključa, ko podpis ne uspe.

"Ranljivost omogoča popolno ekstrakcijo zasebnega ključa, kar napadalcem omogoča krajo vseh sredstev iz kripto denarnice," opozoriti raziskovalci Fireblocks.

Izraz "ničelni dan" se nanaša na prej neodkrite ranljivosti, ki jih imajo razvijalci v bistvu nič dni časa, da jih odpravijo.

Te ranljivosti vplivajo na več kot 15 ponudnikov denarnic za digitalna sredstva, verig blokov in druge projekte, ki se zanašajo na te protokole MPC, vključno s Coinbase, ZenGo in Binance. Ta podjetja so od takrat rešila težave v zvezi z BitForge, potem ko jim je Fireblocks predstavil svoje dokumentirane ugotovitve.

»Točno tako izgleda proaktivno varnostno sodelovanje. Težava je bila nemudoma obravnavana in nobena sredstva uporabnikov niso bila prizadeta,« je dejal Tal Be'ery, glavni tehnološki direktor pri ZenGo.

Coinbase tudi priznali Razkritje družbe Fireblocks, pri čemer ugotavlja, da čeprav težava ni vplivala na potrošniški izdelek Coinbase Wallet, so prejšnje različice rešitve Wallet as a Service uporabljale nekatere od zadevnih knjižnic.

2/ Coinbase je maja takoj izdal posodobljene knjižnice za izboljšanje obravnave napak, kljub pomanjkanju možnosti izkoriščanja. To je del naše zaveze, da nenehno izboljšujemo in vzdržujemo najvišje standarde varnosti.

— Coinbase Cloud 🛡️ (@CoinbaseCloud) Avgust 9, 2023