Hacken zwiększa dowód bezpieczeństwa rezerw Binance

14 lutego 2023 r. badacze Hacken przeprowadzili testy i zidentyfikowali błąd w systemie Proof of Reserves opartym na Binance zkSNARK.

Hacken opublikował całość sprawozdanie z oceny, ogłosił to w dniu ich Twitteri natychmiast powiadomił zespół Binance o rozwiązaniu problemu.

Aktualizacja weryfikacji rezerw Binance

Binance ogłosiło aktualizację weryfikacji dowodu rezerw, aby obejmowała zk-SNARK. Aktualizacja miała zwiększyć przejrzystość i bezpieczeństwo systemu weryfikacji 10 lutego 2023 r. 

Połączenia System Proof of Reserves oparty na zkSNARK aktualizacja obejmowała również dodanie protokołów sprawdzających wiedzę zerową do istniejącej kryptografii drzewa Merkle firmy Binance. Nowe funkcje dotyczyły możliwości fałszywych kont i ujemnych sald oraz zachowania bezpieczeństwa i prywatności użytkowników podczas transakcji. 

Poprzednio, Binance polegał na zwykłej kryptografii drzewa Merkle dla bezpieczeństwa i przejrzystości systemu.

Różne łańcuchy bloków przyjęły system dowodu rezerw oparty na drzewie Merkle, aby zwiększyć przejrzystość branży po upadek FTX. Binance stworzyło również projekt typu open source, aby przynieść korzyści całej branży kryptograficznej i zapewnić użytkownikom poczucie SAFU.

Identyfikacja błędów

Zespół Hackena przejrzał wszystkie 1157 zależności w projekcie i znalazł 42 luki, z których 16 było narażonych na publiczne wykorzystanie. 20 zależności miało poważną podatność, podczas gdy 20 miało średnią wagę.

Spośród poważnych luk zespół zidentyfikował dwa istotne niedociągnięcia w drzewie sum Merkle'a; ujemne saldo i prywatność.

Twórcy Binance natychmiast zareagowali na tę obserwację, generując dowody zk-SNARK. Dowody zawierały partie 864 użytkowników, a każdy z nich był połączony hashem Posejdona.

Naukowcy z Hacken również to odkryli Dowód rezerw Binance miał luki, które mogłyby pozwolić na generowanie fałszywego długu użytkownika niewykrywalnego przez osobę trzecią oraz możliwość stworzenia fałszywego długu.

Zespół trzech badaczy bezpieczeństwa i programistów blockchain, kierowany przez Luciano Ciattaglia, sprawdził kod źródłowy i odkrył błąd w systemie, który pozwolił mu ominąć asercję totalUserDebt, totalUserEquity (api.AssertIsLessOrEqual). 

Zespół stworzył zabezpieczenie przed fałszerstwem, ustawiając BasePrice na bardzo wysoką wartość, ponieważ w parametrze brakowało walidacji CheckValueInRange, co oznacza, że ​​hakerzy mogą stworzyć fałszywy dowód bez wykrywania systemu. Z drugiej strony cena podstawowa jest jednostką publiczną i łatwo jest wykryć, kiedy została naruszona.

Błąd przepełnienia BasePrice oznacza, że ​​można zmienić BasePrice bez wykrycia, co może obniżyć zobowiązania potwierdzone przez giełdę. 

Odpowiedź Binance'a

Hackens skontaktował się z Binance po odkryciu błędów związanych z ich zaangażowaniem w zapewnienie przejrzystości wymiany. Deweloperzy Binance zareagowali natychmiast, naprawiając błędy i ogłaszając na swoich oficjalny uchwyt na Twitterze. 

Deweloperzy Hacken zasugerowali, aby Binance dodał CheckValueInRange dla BasePrice, aby zapobiec przepełnieniu, co zespół Binance sprawdził i połączył zatwierdzenie Hackena z główną gałęzią Binance. Binance naprawił wszystkie zidentyfikowane luki krytyczne i średniej wagi.

Jednak Binance nie może zweryfikować żadnego dowodu wygenerowanego przed testami jako ważnego, ponieważ krytyczne błędy pozwoliły na manipulację całkowitą kwotą długu. Użytkownicy nie mogą potwierdzić, że jakikolwiek dowód przed testem nie został naruszony z powodu luki w zabezpieczeniach.

Blockchain uznał również pracę Hackena za wyjątkowy przykład siły opinii społeczności. Binance zapewnia również platformę, na której użytkownicy mogą zgłosić lub przekazać opinię na dowolnym produkcie Binance. 

Śledź nas w Google News