Firma ochroniarska odkrywa lukę w zabezpieczeniach multisigowych kont Tron o wartości 500 mln USD

Zespół badawczy z dWallet Labs odkrył lukę dnia zerowego w kontach multisig Tron, umożliwiającą atakującemu ominięcie mechanizmu multipodpisu i podpisanie transakcji za pomocą jednego podpisu.

W poście dotyczącym awarii technicznej zespół badawczy stwierdził, że luka w zabezpieczeniach mogła mieć wpływ na aktywa o wartości 500 milionów USD przechowywane na kontach multisig Tron. Dzieje się tak, ponieważ pozwala każdemu podpisującemu „całkowicie przezwyciężyć zabezpieczenia multisig oferowane przez TRON”.

0d, nasz supergwiazdorski zespół badawczy zajmujący się cyberbezpieczeństwem, odkrył lukę w zabezpieczeniach kont TRON multisig, narażającą zasoby cyfrowe o wartości ponad 500 mln USD – została ona ujawniona i naprawiona, więc obecnie nie ma zagrożonych zasobów użytkowników.

Awaria techniczna: https://t.co/nMj6kV6Oc3

— dWallet Labs (@dWalletLabs) 30 maja 2023 r.

Jak sama nazwa wskazuje, portfele z wieloma podpisami wymagają wielu sygnatariuszy zdefiniowanych na koncie w celu zatwierdzania transakcji i przenoszenia środków, umożliwiając tworzenie wspólnych kont w kryptografii. Każdy podpisujący konto posiada własne klucze, a konto wymaga określonego progu zatwierdzania transakcji. 

Według zespołu badawczego, podatność multisig Tron pozwala na wygenerowanie wielu prawidłowych podpisów. Oni napisali:

„Możemy ominąć proces weryfikacji multisig, podpisując tę ​​samą wiadomość wybranymi przez nas niedeterministycznymi wartościami jednorazowymi. W ten sposób będziemy w stanie wygenerować wiele ważnych różnych podpisów dla tej samej wiadomości za pomocą tego samego klucza prywatnego”.

Według zespołu ds. cyberbezpieczeństwa, Tron zapewnia, że ​​podpisy są unikalne, zamiast sprawdzać, czy sygnatariusze są unikalni. Z tego powodu sygnatariusze mogą potencjalnie „podwójnie głosować” lub podpisać dwukrotnie. Omer Sadika, dyrektor generalny dWallet Labs, powiedział, że rozwiązanie jest proste: zweryfikuj adres zamiast liczby podpisów.

Naukowcy zauważyli, że luka została zgłoszona firmie Tron w lutym i naprawiona kilka dni później.

Związane z: Justin Sun przeprasza po starciu Sui LaunchPool z CEO Binance

Cointelegraph skontaktował się z Tronem w celu uzyskania komentarzy, ale nie otrzymał odpowiedzi.

Z innych wiadomości, inny zdecentralizowany protokół finansowy został ostatnio wykorzystany w wysokości 7.5 miliona dolarów. 28 maja firma PeckShield zajmująca się bezpieczeństwem blockchain poinformowała, że ​​protokół Jimbos oparty na Arbitrum został zhakowany, co spowodowało utratę 4,000 Ether (ETH).

Magazine: USA i Chiny próbują zmiażdżyć Binance, roszczenie SBF o łapówkę w wysokości 40 milionów dolarów