Verichains-ը՝ բլոկչեյնի անվտանգության առաջատար ընկերությունը, նկատել է նշանակալի blockchain անվտանգության խոցելիություններ.
Էկոհամակարգում նախագծերի վերաբերյալ հրատապ հանրային խորհրդատվության մեջ Verichains-ի թիմն ասաց, որ խոցելիությունները վերաբերում են IAVL-ի ապացույցների ստուգմանը և խարդախության հարձակումներին Tendermint Core-ում և Տիեզերք. Մասնավորապես, անվտանգության ռիսկերը վերաբերում են Empty Merkle Tree-ի կրիտիկական խոցելիությանը և IAVL Spoofing Attack-ին:
Սխալներ՝ կապված Tendermint-ի IAVL-ի ապացույցների հաստատման հետ
Հանրային թարմացումը ընկերության «Պատասխանատու խոցելիության բացահայտման քաղաքականության» մի մասն է և գալիս է անհրաժեշտ 120-օրյա ժամկետից հետո:
Ըստ Վերիչայնի, հայտնաբերված խոցելիությունները «քննադատական բնույթԳործողությունների բացակայությունը կարող է տեսնել, որ հաքերներն օգտագործում են սխալները՝ հետագա վնաս պատճառելու համար: Բոլոր Web3 նախագծերը, որոնք դեռևս գործում են IAVL-ի ապացույցների ստուգում Tendermint-ում, պետք է արագ շարժվեն ակտիվները ապահովելու և շահագործման հնարավոր ռիսկերը մեղմելու համար:
Համաձայն հարթակի՝ ռիսկերը հայտնաբերվեցին 2022 թվականի հոկտեմբերին, երբ թիմը խոցելիություններ էր փնտրում՝ BNB շղթայական կամրջի վրա կոտրելուց հետո: Անվտանգության մասնագետների դատավճիռը կայանում էր նրանում, որ IAVL Spoofing Attack-ը բազմաթիվ խոցելիություններ է առաջարկում ինչպես BNB Chain-ում, այնպես էլ Tendermint-ում: Փորձագետները նշում են, որ էկոհամակարգը կարող էր ենթարկվել «միջոցների զգալի կորստի»:
Մինչ անցած հոկտեմբերին BNB Chain-ում կարկատվեց, նույնը տեղի չունեցավ Tendermint/Cosmos սպասարկողի հետ: Tendermint Core գրադարանի կարկատումը տեղի չունեցավ, քանի որ Cosmos SDK-ն և IBC-ն անցել էին IAVL Merkle-ի ապացուցողական ստուգումից դեպի ICS-23:
Բլոկչեյն տարածությունը տեսել է բազմաթիվ խախտումներ կամուրջների վրա, միլիոնավոր դոլարների թվային ակտիվների գողացված: Համապատասխանաբար, Verichain-ի մասնագետները նշում են, որ նախագծերը չպետք է թերագնահատեն հնարավոր խախտումների մասշտաբները՝ հաշվի առնելով այն շահագործումը, որի արդյունքում BNB Chain-ի Cross-Chain Bridge-ը հարձակվել է 2 միլիոն BNB արժեքով, որի արժեքը գերազանցում է 566 միլիոն դոլարը:
Աղբյուր՝ https://invezz.com/news/2023/03/08/verichains-discloses-critical-blockchain-security-vulnerabilities/