Фирма по безопасности обнаружила уязвимость в мультисигнализационных счетах Tron на сумму $500 млн.

Исследовательская группа dWallet Labs обнаружила уязвимость нулевого дня в мультиподписных счетах Tron, позволяющую злоумышленнику обойти механизм мультиподписи и подписать транзакции одной подписью.

В сообщении о техническом сбое исследовательская группа заявила, что уязвимость могла повлиять на активы в размере 500 миллионов долларов, хранящиеся на мультисигнализационных счетах Tron. Это потому, что она позволяет любому подписавшему "полностью преодолеть защиту мультисиг, предлагаемую TRON".

0d, наша суперзвездная исследовательская команда по кибербезопасности, обнаружила уязвимость в мультисиг-счетах TRON, подвергая риску более $500M цифровых активов - она была раскрыта и устранена, так что теперь активы пользователей не подвергаются риску.

Техническая разбивка: https://t.co/nMj6kV6Oc3

- dWallet Labs (@dWalletLabs) 30 мая 2023 г.

Как следует из названия, кошельки с мультиподписью требуют наличия нескольких подписавших лиц, определенных в аккаунте, для одобрения транзакций и перемещения средств, что позволяет создавать совместные счета в криптовалюте. Каждый подписант счета имеет свои собственные ключи, а для утверждения транзакций требуется определенный порог.

По мнению исследовательской группы, уязвимость в Tron`s multisig позволяет генерировать множество действительных подписей. Они написали:

"Мы можем обойти процесс мультисиговой проверки, подписав одно и то же сообщение недетерминированными несами по нашему выбору. Поступая таким образом, мы сможем генерировать множество различных достоверных подписей для одного и того же сообщения одним и тем же закрытым ключом".

По словам специалистов по кибербезопасности, Tron обеспечивает уникальность подписей вместо того, чтобы проверять, уникальны ли подписывающие лица. Из-за этого подписывающие лица могут потенциально "дважды проголосовать" или подписаться дважды. Омер Садика, генеральный директор dWallet Labs, сказал, что решение проблемы простое: проверять адрес вместо количества подписей.

Исследователи отметили, что об уязвимости было сообщено Tron в феврале и устранено через несколько дней после этого.

Cointelegraph обратился в компанию Tron за комментариями, но не получил ответа.

Другие новости: недавно другой децентрализованный финансовый протокол пострадал от взлома на сумму 7,5 миллионов долларов. 28 мая компания PeckShield, специализирующаяся на безопасности блокчейна, сообщила, что протокол Jimbos Protocol на базе Arbitrum был взломан, в результате чего было потеряно 4 000 Эфиров (ETH).

Журнал: США и Китай пытаются подавить Binance, заявление о взятке в $40 млн со стороны SBF