Bảng tỷ giá 
Bạn đang ở:
84 
Lỗ hổng bị cáo buộc cho phép các ứng dụng Web3 sử dụng giao thức Starknet vượt qua lớp bảo vệ an ninh của khóa riêng trong ví MPC, có khả năng làm lộ khóa riêng của người dùng cho nhà cung cấp ví.
Một số ví đa chữ ký (multisig) nhất định có thể bị khai thác bởi các ứng dụng Web3 sử dụng giao thức Starknet, theo thông cáo báo chí ngày 9 tháng 3 được cung cấp cho Cointelegraph bởi nhà phát triển ví Multi-Partutation (MPC) Safeheron. Lỗ hổng ảnh hưởng đến các ví MPC tương tác với các ứng dụng Starknet như dYdX. Theo thông cáo báo chí, Safeheron đang làm việc với các nhà phát triển ứng dụng để vá lỗ hổng.
Theo tài liệu giao thức Safeheron, ví MPC đôi khi được các tổ chức tài chính và nhà phát triển ứng dụng Web3 sử dụng để bảo mật tài sản tiền điện tử mà họ sở hữu. Tương tự như ví đa chữ ký tiêu chuẩn, chúng yêu cầu nhiều chữ ký cho mỗi giao dịch. Nhưng không giống như nhiều chữ ký tiêu chuẩn, chúng không yêu cầu phải triển khai các hợp đồng thông minh chuyên biệt cho blockchain, cũng như không phải tích hợp chúng vào giao thức blockchain.
Thay vào đó, các ví này hoạt động bằng cách tạo các phân đoạn của khóa riêng tư, với mỗi phân đoạn được giữ bởi một người ký. Các phân đoạn này phải được nối với nhau ngoài chuỗi để tạo ra chữ ký. Do sự khác biệt này, ví MPC có thể có phí gas thấp hơn so với các loại ví đa chữ ký khác và có thể không liên quan đến blockchain, theo các tài liệu.
Ví MPC thường được coi là an toàn hơn so với ví có chữ ký đơn, vì kẻ tấn công không thể hack chúng trừ khi chúng xâm nhập nhiều hơn một thiết bị.
Tuy nhiên, Safeheron tuyên bố đã phát hiện ra một lỗ hổng bảo mật phát sinh khi các ví này tương tác với các ứng dụng dựa trên Starknet như dYdX và Fireblocks. Khi các ứng dụng này có được stark_key_signature và/hoặc api_key_signature, chúng có thể vượt qua sự bảo vệ an toàn của khóa cá nhân trong ví MPC, công ty cho biết trong thông cáo báo chí của mình. Điều này có thể cho phép kẻ tấn công đặt hàng, thực hiện chuyển giao lớp 2, hủy đơn đặt hàng và tham gia vào các giao dịch trái phép khác.
Safeheron ngụ ý rằng lỗ hổng bảo mật chỉ làm rò rỉ khóa cá nhân của người dùng cho nhà cung cấp ví. Do đó, miễn là bản thân nhà cung cấp ví không gian dối và không bị kẻ tấn công chiếm đoạt, tiền của người dùng sẽ được an toàn. Tuy nhiên, nó lập luận rằng điều này khiến người dùng phụ thuộc vào niềm tin vào nhà cung cấp ví. Điều này có thể cho phép những kẻ tấn công phá vỡ bảo mật ví bằng cách tấn công chính nền tảng, như công ty đã giải thích:
Sự tương tác giữa ví MPC và dYdX hoặc dApps tương tự [ứng dụng phi tập trung] sử dụng khóa có nguồn gốc từ chữ ký sẽ làm suy yếu nguyên tắc tự giám sát đối với nền tảng ví MPC. Khách hàng có thể bỏ qua các chính sách giao dịch được xác định trước và nhân viên đã rời khỏi tổ chức vẫn có thể duy trì khả năng vận hành dApp.
Công ty cho biết họ đang làm việc với các nhà phát triển ứng dụng Web3 Fireblocks, Fordefi, ZenGo và StarkWare để vá lỗ hổng bảo mật. Nó cũng khiến dYdX nhận thức được vấn đề. Vào giữa tháng 3, công ty có kế hoạch biến giao thức của mình thành mã nguồn mở trong nỗ lực tiếp tục giúp các nhà phát triển ứng dụng vá lỗ hổng.
Cointelegraph đã cố gắng liên hệ với dYdX, nhưng không thể nhận được phản hồi trước khi xuất bản.
Avihu Levy, Trưởng bộ phận sản phẩm của StarkWare nói với Cointelegraph rằng công ty hoan nghênh nỗ lực của Safeheron nhằm nâng cao nhận thức về vấn đề và giúp đưa ra cách khắc phục, nêu rõ:
Thật tuyệt khi Safeheron đang cung cấp nguồn mở một giao thức tập trung vào thách thức này[...]Chúng tôi khuyến khích các nhà phát triển giải quyết mọi thách thức bảo mật sẽ phát sinh với bất kỳ tích hợp nào, tuy nhiên phạm vi của nó bị giới hạn. Điều này bao gồm cả thách thức đang được thảo luận.
Starknet là một giao thức Ethereum lớp 2 sử dụng bằng chứng không kiến thức để bảo mật mạng. Khi người dùng lần đầu tiên kết nối với ứng dụng Starknet, họ sẽ lấy được khóa STARK bằng ví Ethereum thông thường của họ. Safeheron cho biết quá trình này đã dẫn đến các khóa ví MPC bị rò rỉ.
Starknet đã cố gắng cải thiện tính bảo mật và phân quyền của mình vào tháng 2 bằng cách cung cấp nguồn mở chứng minh của nó.
Theo CoinTelegraph
|
|
Tags: An ninh mạng, Bảo mật, Ví, Đa chữ ký,
