30 мая 2023 года исследовательская группа 0d из Dwallet Labs опубликовала отчет, раскрывающий уязвимость в родной мультиподписной схеме Tron. Уязвимость позволяет любому лицу, подписавшему учетную запись с несколькими подписями, обойти меры безопасности сети, независимо от установленного порога и количества подписывающих лиц.
«Эта уязвимость затрагивает цифровые активы на сумму более $500 миллионов, которые хранятся на учетных записях Tron с мультиподписью», — сообщил во вторник 0d.
Исследователи также заявили, что разработчики Tron были уведомлены об ошибке 19 февраля 2023 года, и программисты создали патч для решения этой проблемы. 0d сказал, что большинство валидаторов Tron уже внедрили патч, чтобы предотвратить любое потенциальное использование уязвимости.
«Мы получили вознаграждение за уязвимость высокой степени серьезности в рамках программы вознаграждений Tron», — сообщила исследовательская группа по кибербезопасности.
0d объяснил, что уязвимость возникла из-за процесса проверки мультиподписных транзакций в сети Tron. Сеть зависит от уникальности подписи для идентичных сообщений от человека. Однако из-за детерминированного характера процесса генерации подписи, описанного в RFC 6979, ненадежный подписывающий может использовать различные одноразовые номера (случайные числа) для создания нескольких действительных подписей для одного и того же сообщения, используя один и тот же закрытый ключ.
Обнаружение ошибки механизма мультиподписи Tron совпадает с обнаружением уязвимости конфиденциальности в блокчейне Monero. Утверждается, что ошибка существовала в сети Monero в течение трех лет и с тех пор была устранена. Обсуждая проблему мультиподписи Tron, исследователь 0d Омер Садика объяснил, что с внедрением исправления $500 миллионов теперь защищены.
Читайте также:
