Më shumë se 280 blockchain në rrezik të shfrytëzimeve të 'ditës zero', paralajmëron firma e sigurisë

Sipas firmës së sigurisë kibernetike Halborn, 280 ose më shumë rrjete blockchain vlerësohen të jenë në rrezik të shfrytëzimeve "zero-ditore" që mund të vënë në rrezik të paktën 25 miliardë dollarë kripto.

Në 13 mars blog, Halborn paralajmëroi për dobësinë që e quajti “Rab13s” – duke shtuar se tashmë ka punuar me disa zinxhirë bllokues, si Dogecoin, Litecoin dhe Zcash, për të krijuar një rregullim për të.

Halborn zbuloi masiv #ZeroDita duke ndikuar Dogecoin dhe 280+ rrjete, duke përfshirë Litecoin dhe Zcash, duke vënë në rrezik mbi 25 miliardë dollarë asete dixhitale!
...
- Halborn (@HalbornSecurity) March 13, 2023

Halborn u kontraktua nga Dogecoin në mars 2022 për të kryer një rishikim sigurie të bazës së kodit të tij dhe gjeti "disa dobësi kritike dhe të shfrytëzueshme".

Më vonë i përcaktoi ato dobësitë e njëjta “preku mbi 280 rrjete të tjera” që rrezikuan kriptovaluta me vlerë miliarda dollarë.

Halborn nënvizoi tre dobësi, "më kritike" e të cilave lejon një sulmues të "dërgojë mesazhe të krijuara keqdashëse konsensusi në nyje individuale, duke shkaktuar mbylljen e secilit".

3/ Dobësia më kritike e zbuluar lidhet me komunikimet peer-to-peer (p2p) ku sulmuesit mund të krijojnë mesazhe konsensusi dhe t'i dërgojnë ato në nyje individuale, duke i marrë ato jashtë linje.
Studiuesit Halborn, të udhëhequr nga @safe_buffer, e kanë koduar këtë dobësi #Rab13s.
- Halborn (@HalbornSecurity) March 13, 2023

Ai shtoi se këto mesazhe me kalimin e kohës mund ta ekspozojnë blockchain ndaj një 51% sulm ku një sulmues kontrollon shumicën e rrjetit shkalla e hashimit të minierave ose shenja të stakuara për të bërë një version të ri të blockchain ose për ta hequr atë jashtë linje.

Dobësitë e tjera të ditës zero që gjeti do të lejonin sulmuesit e mundshëm të rrëzohen nyjet e zinxhirit duke dërguar kërkesa të thirrjes së procedurës në distancë (RPC) - një protokoll që lejon një program të komunikojë dhe të kërkojë shërbime nga një tjetër.

7/ Së dyti, sulmuesit mund të ekzekutojnë kodin përmes ndërfaqes publike (RPC) si një përdorues normal i nyjeve. Meqenëse kërkohet një kredencial i vlefshëm për të kryer sulmin, gjasat e këtij shfrytëzimi janë më të ulëta.
- Halborn (@HalbornSecurity) March 13, 2023

Ai shtoi se mundësia e shfrytëzimeve të lidhura me RPC ishte më e ulët pasi kërkon kredenciale të vlefshme për të ndërmarrë sulmin.

"Për shkak të dallimeve të bazës së kodit midis rrjeteve, jo të gjitha dobësitë janë të shfrytëzuara në të gjitha rrjetet, por të paktën një prej tyre mund të jetë i shfrytëzueshëm në secilin rrjet," paralajmëroi Halborn.

Firma tha në këtë moment se nuk po publikon detaje të tjera teknike të shfrytëzimeve për shkak të ashpërsisë së tyre dhe shtoi se bëri një "përpjekje me mirëbesim" për të kontaktuar të gjitha palët e prekura për të zbuluar shfrytëzimet e mundshme dhe për të siguruar korrigjimin e dobësive.

Dogecoin, Zcash dhe Litecoin kanë implementuar tashmë arna për dobësitë e zbuluara, por qindra ende mund të ekspozohen sipas Halborn.