Verichains, წამყვანი ბლოკჩეინის უსაფრთხოების ფირმა, გამოავლინა მნიშვნელოვანი blockchain უსაფრთხოების ხარვეზები.
ეკოსისტემაში პროექტების მიმართ გადაუდებელ საჯარო კონსულტაციაში, Verichains-ის გუნდმა თქვა, რომ დაუცველობა დაკავშირებულია IAVL მტკიცებულების გადამოწმებასთან და გაყალბების შეტევებთან Tendermint Core-ში და Cosmos. კონკრეტულად, უსაფრთხოების რისკები უკავშირდება კრიტიკულ Empty Merkle Tree დაუცველობას და IAVL Spoofing Attack-ს.
შეცდომები, რომლებიც დაკავშირებულია Tendermint-ის IAVL მტკიცებულებასთან დადასტურებასთან
საჯარო განახლება არის კომპანიის პასუხისმგებელი დაუცველობის გამჟღავნების პოლიტიკის ნაწილი და მოდის საჭირო 120-დღიანი პერიოდის შემდეგ.
ვერიჩეინის თქმით, გამოვლენილი დაუცველობა არის "კრიტიკული ბუნება”და ქმედების ნაკლებობამ შეიძლება გამოიწვიოს ჰაკერების მიერ შეცდომების გამოყენება შემდგომი ზიანის მიყენების მიზნით. ყველა Web3 პროექტს ჯერ კიდევ აქვს IAVL მტკიცებულების შემოწმება Tendermint-ზე, საჭიროა სწრაფად იმოძრაოს აქტივების უზრუნველსაყოფად და პოტენციური ექსპლუატაციის რისკების შესამცირებლად.
პლატფორმის მიხედვით, რისკები აღმოაჩინეს 2022 წლის ოქტომბერში, როდესაც გუნდი ცდილობდა დაუცველობას BNB ჯაჭვის ხიდზე გატეხვის შემდეგ. უსაფრთხოების სპეციალისტების განაჩენი იყო, რომ IAVL Spoofing Attack-ის კრიტიკულმა შეტევამ მრავალი დაუცველობა გამოიწვია როგორც BNB Chain-ში, ასევე Tendermint-ში. ექსპერტებმა აღნიშნეს, რომ ეკოსისტემა შესაძლოა „თანხების მნიშვნელოვან დაკარგვას“ დაექვემდებაროს.
მიუხედავად იმისა, რომ პატჩი დამზადდა BNB Chain-ზე გასულ ოქტომბერში, იგივე არ მომხდარა Tendermint/Cosmos-ის შემნარჩუნებელთან. Tendermint Core ბიბლიოთეკის პატჩი არ მოხდა, რადგან Cosmos SDK და IBC გადავიდნენ IAVL Merkle-ის მტკიცებულების ვერიფიკიდან ICS-23-ში.
ბლოკჩეინის სივრცეში დაფიქსირდა მრავალი დარღვევა ხიდებზე, მოპარული მილიონობით დოლარის ციფრული აქტივები. შესაბამისად, Verichain-ის სპეციალისტები აღნიშნავენ, რომ პროექტებმა არ უნდა შეაფასონ რაიმე სავარაუდო დარღვევის მასშტაბები, იმის გათვალისწინებით, თუ რა ექსპლუატაცია მოხდა, რომლის დროსაც BNB Chain-ის Cross-Chain Bridge თავს დაესხნენ უკანონოდ გაცემული 2 მილიონი BNB ღირებულების 566 მილიონ დოლარს.
წყარო: https://invezz.com/news/2023/03/08/verichains-discloses-critical-blockchain-security-vulnerabilities/