İhtar Yayınlandı: Bu Altcoin Güvenlik Açığı İçeriyor!
Güvenlik firması dWallet Labs, Tron (TRX) ağında 500 milyon dolar kıymetinde altcoin/tokeni tehlikeye atan güvenlik açığı keşfetti.
“Tespit edildi ve düzeltildi, şu anda risk yok”
dWallet Labs ekibi güvenlik açığını ilk olarak Şubat ayında Tron takımına bildirdi. Bundan sonra sorunun derhal ele alındığı ve birkaç gün içinde çözüldüğü vurgulandı.
Rapora göre, Tron multisig hesaplarında bir saldırganın çoklu imza düzeneğini atlamasına ve işlemleri tek bir imzayla imzalamasına imkan tanıyan bir güvenlik açığı vardı. Araştırma ekibi, teknik raporda, güvenlik açığının Tron multisig hesaplarında tutulan 500 milyon dolar kıymetinde altcoin’i etkileyebileceğini söyledi. Bunun nedeni, rastgele bir imzalayanın “TRON tarafından sunulan çoklu imza güvenliğinin tamamen üstesinden gelmesine” izin vermesidir.
0d, our superstar cybersecurity research team, discovered a vulnerability in TRON multisig accounts putting over $500M of digital assets at risk – it was disclosed and fixed so there are no user assets at risk now.
A technical breakdown:https://t.co/nMj6kV6Oc3
— dWallet Labs (@dWalletLabs) May 30, 2023
Adından da anlaşılacağı üzere, çok imzalı cüzdanlar, işlemleri onaylamak ve fonları taşımak için bir hesaba tanımlanan birden çok imzalayıcı gerektirir. Bu da kriptoda ortak hesapların oluşturulmasına izin verir. Her imzacının kendi anahtarı vardır. Süreçlerin onaylanması için makul sayıda onay gerekir.
Araştırma takımına göre, Tron’un multisig’indeki güvenlik açığı, birçok geçerli imzanın oluşturulmasına izin veriyordu. Rapora göre, “Aynı mesajı, tercih ettiğimiz deterministik olmayan nons’larla imzalayarak çoklu imza doğrulama sürecini atlayabiliyordunuz. Bunu yaparak, aynı özel anahtarla aynı mesaj için birçok geçerli farklı imza oluşturabiliyordunuz.”
Tron’un kusuru neydi?
dWallet takımına göre Tron, imzalayanların eşsiz olup olmadığını denetim etmek yerine imzaların eşsiz olmasını sağlıyor. Bu nedenle, imzalayanlar potansiyel olarak “çifte oy kullanabilir” yahut iki kez imzalayabilir. DWallet Labs CEO’su Ömer Sadika, düzeltmenin kolay olduğunu söyledi. “İmza sayısı yerine adresi doğrulamanın” kâfi olduğunu belirtti.
8/ There are two attack scenarios where this could be exploited, and that allow to completely bypass the multisig mechanism. The fix, deployed by TRON, is actually quite simple – just verify the address instead of # of signatures only.
Fix deployed – $500M secured.
— Omer Sadika (@omersadika) May 30, 2023
Araştırmacılar, güvenlik açığının Şubat ayında Tron’a bildirildiğini ve günler sonra düzeltildiğini kaydetti. Öbür yandan, güvenlik açığı konusunda son günlerde Arbitrum ağı öne çıkıyor. Bilhassa Mayıs ayında iki büyük DeFi protokolü yaklaşık 10 milyon doları saldırganlara teslim etti.
Arbitrum ağı iki büyük hack teşebbüsüne şahit oldu
İlki, Jimbos’u hedef alan ve 7,5 milyon dolarlık kayba yol açan likidite operasyonlarındaki eksiklikten kaynaklandı. Arbitrum tabanlı DeFi projesi Jimbos, atağın sonucunda sonucunda 4.000 Ether (ETH) kaybetti.
It appears today's @jimbosprotocol hack leads to the 4090 ETH loss (w/ ~$7.5M).
This hack is due to the lack of slippage control of liquidity-shifting operation — such that the protocol-owned liquidity is invested into a skewed/imbalanced price range, which is exploited in… https://t.co/wnQAeksojz pic.twitter.com/TPlqNlvnZD
— PeckShield Inc. (@peckshield) May 28, 2023
En son hack teşebbüsünde Ede Finance, kasıtlı olarak güvenlik açığı bırakması nedeniyle ateş altında. DeFi projesi, bugün yaklaşık yarım milyon doların ele geçirilmesine yol açan hack teşebbüsüne maruz kaldı. Coinler.us olarak aktardığımız üzere, proje ekibi yaşananlarda hisse sahibi olduğunu kabul ediyor.
