Исследователи безопасности недавно обнаружили критическую уязвимость нулевого дня в блокчейне TRON, которая потенциально может подвергнуть краже криптовалюту на сумму 500 миллионов долларов.
Уязвимость, обнаруженная исследовательской группой 0d в лаборатории dWallet, была специально нацелена на учетные записи с мультиподписью в блокчейне TRON.
Учетные записи с мультиподписью требуют нескольких подписей для авторизации транзакции. Однако недостаток в подходе TRON к мультиподписи позволял любому подписавшемуся, связанному с конкретной мультиподписной учетной записью, независимо получать доступ к средствам в этой учетной записи, не требуя одобрения других подписантов.
Этот недосмотр в процессе проверки TRON позволил атаке полностью обойти мультиподписную безопасность блокчейна.
Омер Садика, член исследовательской группы 0d, объяснил:
«Процесс мультиподписи можно было обойти, подписав одно и то же сообщение недетерминированными одноразовыми номерами… Проще говоря, один подписывающий может создать несколько действительных подписей для одного и того же сообщения».
Решение этой критической уязвимости было относительно простым, поскольку теперь подписи проверяются по списку адресов, а не только по списку подписей.
Быстрая реакция TRON на брешь в безопасности мультиподписи
Исследовательская группа 0d незамедлительно сообщила об уязвимости через программу вознаграждения за ошибки TRON 19 февраля. TRON быстро исправила уязвимость в течение нескольких дней, и исследователи подтвердили, что большинство валидаторов TRON внедрили необходимые исправления.
В отдельном заявлении в Twitter исследователи подчеркнули, что никакие пользовательские активы в настоящее время не находятся под угрозой, поскольку уязвимость была успешно устранена.
На данный момент TRON не опубликовал публичного заявления об инциденте.
Более свежие уязвимости
Последнее событие совпадает с обнаружением значительной уязвимости конфиденциальности в блокчейне Monero. Примечательно, что ошибка Monero оставалась незамеченной в сети более трех лет, прежде чем ее обнаружили и оперативно устранили.
Еще одним ударом по сектору DeFi стало то, что протокол Jimbos, построенный на сети Arbitrum, стал жертвой серьезного эксплойта, в результате чего было потеряно 4,000 эфиров, что эквивалентно примерно $ 7.5 миллионов.
Недавние события подчеркивают важность строгих мер безопасности и тщательных процессов аудита в технологиях блокчейна. Быстрое выявление и устранение уязвимостей имеет решающее значение для обеспечения безопасности и целостности криптовалютных сетей.
Источник: https://crypto.news/security-firm-exposes-500m-vulnerability-in-trons-multisig-accounts/