Πάνω από 280 blockchains κινδυνεύουν από εκμεταλλεύσεις «zero-day», προειδοποιεί η εταιρεία ασφαλείας

280 ή περισσότερα δίκτυα blockchain εκτιμάται ότι κινδυνεύουν από εκμεταλλεύσεις «zero-day» που θα μπορούσαν να θέσουν σε κίνδυνο κρυπτονομίσματα αξίας τουλάχιστον 25 δισεκατομμυρίων δολαρίων, σύμφωνα με την εταιρεία κυβερνοασφάλειας Halborn.

Στις 13 Μαρτίου blog, ο Halborn προειδοποίησε για την ευπάθεια που ονόμασε "Rab13s" - προσθέτοντας ότι έχει ήδη συνεργαστεί με ορισμένα blockchains, όπως το Dogecoin, το Litecoin και το Zcash, για να δημιουργηθεί μια διόρθωση γι' αυτό.

Ο Χάλμπορν ανακάλυψε τεράστια #ZeroDay επηρεάζοντας το Dogecoin και 280+ δίκτυα, συμπεριλαμβανομένων των Litecoin και Zcash, θέτοντας σε κίνδυνο πάνω από 25 δισεκατομμύρια δολάρια ψηφιακών περιουσιακών στοιχείων!

...

- Halborn (@HalbornSecurity) Μαρτίου 13, 2023

Η Halborn συνήφθη με την Dogecoin τον Μάρτιο του 2022 για να πραγματοποιήσει μια ανασκόπηση ασφαλείας της βάσης κωδικών της και βρήκε «αρκετά κρίσιμα και εκμεταλλεύσιμα τρωτά σημεία».

Αργότερα τα καθόρισε ίδια τρωτά σημεία «επηρέασε περισσότερα από 280 άλλα δίκτυα» που διακινδύνευαν κρυπτονομίσματα αξίας δισεκατομμυρίων δολαρίων.

Ο Halborn περιέγραψε τρία τρωτά σημεία, το «πιο κρίσιμο» από τα οποία επιτρέπει σε έναν εισβολέα να «στείλει δημιουργημένα κακόβουλα μηνύματα συναίνεσης σε μεμονωμένους κόμβους, προκαλώντας τον τερματισμό λειτουργίας του καθενός».

3/ Η πιο κρίσιμη ευπάθεια που ανακαλύφθηκε σχετίζεται με τις επικοινωνίες peer-to-peer (p2p) όπου οι εισβολείς μπορούν να δημιουργήσουν μηνύματα συναίνεσης και να τα στείλουν σε μεμονωμένους κόμβους, μεταφέροντάς τους εκτός σύνδεσης.

Οι ερευνητές του Halborn, με επικεφαλής @safe_buffer, έχουν ονομάσει αυτή την ευπάθεια #Rab13s.

- Halborn (@HalbornSecurity) Μαρτίου 13, 2023

Πρόσθεσε αυτά τα μηνύματα με την πάροδο του χρόνου θα μπορούσαν να εκθέσουν το blockchain σε α 51% επίθεση όπου ένας εισβολέας ελέγχει την πλειοψηφία του δικτύου ποσοστό κατακερματισμού εξόρυξης ή πονταρισμένα διακριτικά για να δημιουργήσετε μια νέα έκδοση του blockchain ή να το αφαιρέσετε εκτός σύνδεσης.

Άλλες ευπάθειες zero-day που βρήκε θα επέτρεπαν σε πιθανούς εισβολείς να συντριβούν κόμβοι blockchain με την αποστολή αιτημάτων κλήσης απομακρυσμένης διαδικασίας (RPC) — ένα πρωτόκολλο που επιτρέπει σε ένα πρόγραμμα να επικοινωνεί και να ζητά υπηρεσίες από άλλο.

7/ Δεύτερον, οι εισβολείς μπορούν να εκτελέσουν κώδικα μέσω της δημόσιας διεπαφής (RPC) ως κανονικός χρήστης κόμβου. Εφόσον απαιτείται έγκυρο διαπιστευτήριο για την πραγματοποίηση της επίθεσης, η πιθανότητα αυτού του exploit είναι μικρότερη.

- Halborn (@HalbornSecurity) Μαρτίου 13, 2023

Πρόσθεσε ότι η πιθανότητα εκμεταλλεύσεων που σχετίζονται με το RPC ήταν μικρότερη, καθώς απαιτούνται έγκυρα διαπιστευτήρια για την εκτέλεση της επίθεσης.

"Λόγω διαφορών στη βάση κώδικα μεταξύ των δικτύων, δεν είναι όλες οι ευπάθειες εκμεταλλεύσιμες σε όλα τα δίκτυα, αλλά τουλάχιστον ένα από αυτά μπορεί να είναι εκμεταλλεύσιμο σε κάθε δίκτυο", προειδοποίησε ο Halborn.

Συγγενεύων: Το Jump Crypto και το Oasis.app "αντιδράμματα" Wormhole χάκερ για 225 εκατομμύρια δολάρια

Η εταιρεία είπε αυτή τη στιγμή ότι δεν δημοσιοποιεί περαιτέρω τεχνικές λεπτομέρειες των εκμεταλλεύσεων λόγω της σοβαρότητάς τους και πρόσθεσε ότι έκανε «καλή πίστη» να επικοινωνήσει με όλα τα επηρεαζόμενα μέρη για να αποκαλύψει τα πιθανά exploits και να παράσχει αποκατάσταση για τα τρωτά σημεία.

Οι Dogecoin, Zcash και Litecoin έχουν ήδη εφαρμόσει ενημερώσεις κώδικα για τις ευπάθειες που ανακαλύφθηκαν, αλλά εκατοντάδες θα μπορούσαν ακόμα να εκτεθούν σύμφωνα με τον Halborn.