Güvenlik firması dWallet Labs, Tron (TRX) ağında 500 milyon dolar bedelinde altcoin/tokeni tehlikeye atan güvenlik açığı keşfetti.
“Tespit edildi ve düzeltildi, şu anda risk yok”
dWallet Labs grubu güvenlik açığını birinci olarak Şubat ayında Tron takımına bildirdi. Bundan sonra sorunun derhal ele alındığı ve birkaç gün içinde çözüldüğü vurgulandı.
Rapora nazaran, Tron multisig hesaplarında bir saldırganın çoklu imza düzeneğini atlamasına ve süreçleri tek bir imzayla imzalamasına imkan tanıyan bir güvenlik açığı vardı. Araştırma takımı, teknik raporda, güvenlik açığının Tron multisig hesaplarında tutulan 500 milyon dolar kıymetinde altcoin’i etkileyebileceğini söyledi. Bunun nedeni, rastgele bir imzalayanın “TRON tarafından sunulan çoklu imza güvenliğinin büsbütün üstesinden gelmesine” müsaade vermesidir.
0d, our superstar cybersecurity research team, discovered a vulnerability in TRON multisig accounts putting over $500M of digital assets at risk – it was disclosed and fixed so there are no user assets at risk now.
A technical breakdown:https://t.co/nMj6kV6Oc3
— dWallet Labs (@dWalletLabs) May 30, 2023
Adından da anlaşılacağı üzere, çok imzalı cüzdanlar, süreçleri onaylamak ve fonları taşımak için bir hesaba tanımlanan birden çok imzalayıcı gerektirir. Bu da kriptoda ortak hesapların oluşturulmasına müsaade verir. Her imzacının kendi anahtarı vardır. Süreçlerin onaylanması için muhakkak sayıda onay gerekir.
Araştırma takımına nazaran, Tron’un multisig’indeki güvenlik açığı, birçok geçerli imzanın oluşturulmasına müsaade veriyordu. Rapora nazaran, “Aynı bildirisi, tercih ettiğimiz deterministik olmayan nons’larla imzalayarak çoklu imza doğrulama sürecini atlayabiliyordunuz. Bunu yaparak, tıpkı özel anahtarla birebir ileti için birçok geçerli farklı imza oluşturabiliyordunuz.”
Tron’un yanılgısı neydi?
dWallet takımına nazaran Tron, imzalayanların eşsiz olup olmadığını denetim etmek yerine imzaların eşsiz olmasını sağlıyor. Bu nedenle, imzalayanlar potansiyel olarak “çifte oy kullanabilir” yahut iki defa imzalayabilir. DWallet Labs CEO’su Ömer Sadika, düzeltmenin kolay olduğunu söyledi. “İmza sayısı yerine adresi doğrulamanın” kâfi olduğunu belirtti.
8/ There are two attack scenarios where this could be exploited, and that allow to completely bypass the multisig mechanism. The fix, deployed by TRON, is actually quite simple – just verify the address instead of # of signatures only.
Fix deployed – $500M secured.
— Omer Sadika (@omersadika) May 30, 2023
Araştırmacılar, güvenlik açığının Şubat ayında Tron’a bildirildiğini ve günler sonra düzeltildiğini kaydetti. Başka yandan, güvenlik açığı konusunda son günlerde Arbitrum ağı öne çıkıyor. Bilhassa Mayıs ayında iki büyük DeFi protokolü yaklaşık 10 milyon doları saldırganlara teslim etti.
Arbitrum ağı iki büyük hack teşebbüsüne şahit oldu
İlki, Jimbos’u amaç alan ve 7,5 milyon dolarlık kayba yol açan likidite operasyonlarındaki eksiklikten kaynaklandı. Arbitrum tabanlı DeFi projesi Jimbos, atağın sonucunda sonucunda 4.000 Ether (ETH) kaybetti.
It appears today's @jimbosprotocol hack leads to the 4090 ETH loss (w/ ~$7.5M).
This hack is due to the lack of slippage control of liquidity-shifting operation — such that the protocol-owned liquidity is invested into a skewed/imbalanced price range, which is exploited in… https://t.co/wnQAeksojz pic.twitter.com/TPlqNlvnZD
— PeckShield Inc. (@peckshield) May 28, 2023
En son hack teşebbüsünde Ede Finance, kasıtlı olarak güvenlik açığı bırakması nedeniyle ateş altında. DeFi projesi, bugün yaklaşık yarım milyon doların ele geçirilmesine yol açan hack teşebbüsüne maruz kaldı. Kriptokoin.com olarak aktardığımız üzere, proje grubu yaşananlarda hisse sahibi olduğunu kabul ediyor.
