Fireblocks เปิดเผยช่องโหว่ที่ส่งผลกระทบต่อผู้ให้บริการ Crypto Wallet รายใหญ่ 15 ราย

ชุดของช่องโหว่ที่เรียกว่า “BitForge” จะทำให้ผู้โจมตีสามารถดึงรหัสส่วนตัวจากอุปกรณ์เครื่องเดียวได้

ทีมนักวิจัยจาก Fireblocks บริษัทโครงสร้างพื้นฐานด้านคริปโตได้เปิดเผยชุดช่องโหว่ที่พวกเขากล่าวว่าส่งผลกระทบต่อผู้ให้บริการเทคโนโลยีการประมวลผลแบบหลายฝ่าย (MPC) ที่นำมาใช้กันอย่างแพร่หลาย

1/ ทีมวิจัย Fireblocks ได้เปิดเผย BitForge ซึ่งเป็นชุดของช่องโหว่ในโปรโตคอล MPC ที่นำมาใช้กันอย่างแพร่หลาย ซึ่งทำให้ผู้โจมตีสามารถดึงรหัสส่วนตัวจากอุปกรณ์เครื่องเดียวได้ อ่านต่อ → https://t.co/xo2r9zgCvj pic.twitter.com/7q1nEeVBwO

— บล็อกไฟ (@FireblocksHQ) สิงหาคม 9, 2023

นักวิจัยเรียกการค้นพบนี้ว่า “BitForge” ซึ่งอธิบายชุดของช่องโหว่แบบ Zero-day ว่าเป็นสิ่งที่ช่วยให้ผู้โจมตีสามารถถอนรหัสส่วนตัวของผู้ใช้ได้เนื่องจากไม่มีหลักฐานความรู้ที่ไม่มีศูนย์ในโปรโตคอล MPC GG-18 และ จีจี-20.

ในขณะเดียวกัน ช่องโหว่ที่ส่งผลกระทบต่อโปรโตคอล Lindell 17 เป็นผลมาจากผู้ให้บริการกระเป๋าเงินย้ายออกจากข้อกำหนดที่ระบุไว้ในเอกสารวิชาการ ซึ่งสร้างประตูหลังสำหรับผู้โจมตีเพื่อเปิดเผยส่วนหนึ่งของคีย์ส่วนตัวเมื่อการลงนามล้มเหลว

“ช่องโหว่นี้ช่วยให้สามารถสกัดคีย์ส่วนตัวได้อย่างสมบูรณ์ ทำให้ผู้โจมตีสามารถขโมยเงินทั้งหมดจากกระเป๋าเงินคริปโตได้” เด่น นักวิจัย Fireblocks

คำว่า “zero-day” หมายถึงช่องโหว่ที่ยังไม่ถูกค้นพบก่อนหน้านี้ ซึ่งโดยพื้นฐานแล้วนักพัฒนาซอฟต์แวร์จะมีเวลาเป็นศูนย์ในการแก้ไข

ช่องโหว่เหล่านี้ส่งผลกระทบต่อผู้ให้บริการกระเป๋าเงินดิจิทัลมากกว่า 15 ราย บล็อกเชน และโครงการอื่นๆ ที่ใช้โปรโตคอล MPC เหล่านี้ รวมถึง Coinbase, ZenGo และ Binance บริษัทเหล่านี้ได้แก้ไขปัญหาที่เกี่ยวข้องกับ BitForge หลังจากที่ Fireblocks นำเสนอการค้นพบที่เป็นเอกสารให้พวกเขา

“นี่คือลักษณะของการทำงานร่วมกันด้านความปลอดภัยเชิงรุก ปัญหานี้ได้รับการแก้ไขทันที และไม่มีผลกระทบกับเงินของผู้ใช้” Tal Be'ery ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ ZenGo กล่าว

Coinbase ด้วย ที่ยอมรับ การเปิดเผยของ Fireblocks โดยสังเกตว่าแม้ว่าผลิตภัณฑ์สำหรับผู้บริโภคของ Coinbase Wallet จะไม่ได้รับผลกระทบจากปัญหา แต่โซลูชัน Wallet as a Service เวอร์ชันก่อนหน้าใช้ไลบรารีบางส่วนที่เป็นปัญหา

2/ Coinbase เปิดตัวไลบรารีที่อัปเดตทันทีในเดือนพฤษภาคมเพื่อปรับปรุงการจัดการข้อผิดพลาดแม้ว่าจะไม่มีช่องโหว่ก็ตาม นี่เป็นส่วนหนึ่งของความมุ่งมั่นของเราในการปรับปรุงและรักษามาตรฐานความปลอดภัยสูงสุดอย่างต่อเนื่อง

— Coinbase Cloud 🛡️ (@CoinbaseCloud) สิงหาคม 9, 2023