Verichains ujawnia krytyczne luki w zabezpieczeniach łańcucha bloków

Verichains, wiodąca firma zajmująca się bezpieczeństwem blockchain, zidentyfikowała znaczące blockchain luki w zabezpieczeniach.

W pilnym publicznym ostrzeżeniu dotyczącym projektów w ekosystemie zespół Verichains powiedział, że luki w zabezpieczeniach dotyczą weryfikacji dowodu IAVL i ataków fałszowania w Tendermint Core i kosmos. W szczególności zagrożenia bezpieczeństwa dotyczą krytycznej luki w zabezpieczeniach Empty Merkle Tree i ataku IAVL Spoofing.

Błędy związane z weryfikacją dowodu IAVL firmy Tendermint

Publiczna aktualizacja jest częścią Polityki odpowiedzialnego ujawniania luk w zabezpieczeniach firmy i następuje po upływie wymaganego okresu 120 dni.

Według Verichain, zidentyfikowane luki mają „krytyczny charakter” i brak działania może spowodować, że hakerzy wykorzystają błędy, aby wyrządzić dalsze szkody. Wszystkie projekty Web3, które nadal przeprowadzają weryfikację dowodową IAVL w Tendermint, muszą działać szybko, aby zabezpieczyć zasoby i ograniczyć potencjalne ryzyko związane z eksploatacją.

Według platformy ryzyko zostało odkryte w październiku 2022 r., gdy zespół szukał luk w zabezpieczeniach po włamaniu do mostu łańcuchowego BNB. Werdykt specjalistów ds. bezpieczeństwa był taki, że krytyczny atak IAVL Spoofing Attack sugerował wiele luk w zabezpieczeniach zarówno w łańcuchu BNB, jak i Tendermint. Eksperci zauważyli, że ekosystem mógł być narażony na „znaczną utratę funduszy”.

Chociaż w październiku zeszłego roku wprowadzono łatkę do łańcucha BNB, to samo nie stało się z opiekunem Tendermint/Cosmos. Poprawka do biblioteki Tendermint Core nie została wprowadzona, ponieważ Cosmos SDK i IBC zostały przeniesione z weryfikacji IAVL Merkle do ICS-23.

Przestrzeń blockchain była świadkiem wielu naruszeń mostów, w wyniku których skradziono aktywa cyfrowe o wartości milionów dolarów. W związku z tym specjaliści Verichain zauważają, że projekty nie powinny lekceważyć skali potencjalnych naruszeń, biorąc pod uwagę exploit, w wyniku którego zaatakowano Cross-Chain Bridge BNB Chain za 2 miliony BNB o wartości ponad 566 milionów dolarów, które zostały nielegalnie wyemitowane.