Multisig портфейлите са уязвими за експлоатация от приложения на Starknet, казва разработчикът Safeheron

Някои портфейли с множество подписи (multisig) могат да бъдат използвани от Web3 приложения, които използват протокола Starknet, според прессъобщение от 9 март, предоставено на Cointelegraph от разработчика на портфейли за Multi-Party Computation (MPC) Safeheron. Уязвимостта засяга MPC портфейли, които взаимодействат с приложения на Starknet като dYdX. Според прессъобщението Safeheron работи с разработчиците на приложения, за да коригира уязвимостта.

Според документацията на протокола на Safeheron, MPC портфейлите понякога се използват от финансови институции и разработчици на Web3 приложения за защита на крипто активи, които притежават. Подобно на стандартен мултисиг портфейл, те изисква множество подписи за всяка транзакция. Но за разлика от стандартните multisigs, те не изискват специализирани интелигентни договори да бъдат внедрени в блокчейна, нито трябва да бъдат вградени в протокола на блокчейна.

Вместо това тези портфейли работят, като генерират „фрагменти“ на частен ключ, като всеки шард се държи от един подписал. Тези фрагменти трябва да бъдат съединени заедно извън веригата, за да се получи подпис. Поради тази разлика MPC портфейлите могат да имат по-ниски такси за газ в сравнение с други видове мултисиг и могат да бъдат агностици на блокчейн, според документите.

MPC портфейлите са често се разглежда като по-сигурен отколкото портфейли с единичен подпис, тъй като атакуващият обикновено не може да ги хакне, освен ако не компрометира повече от едно устройство.

Safeheron обаче твърди, че е открил пропуск в сигурността, който възниква, когато тези портфейли взаимодействат с базирани на Starknet приложения като dYdX и Fireblocks. Когато тези приложения „получат stark_key_signature и/или api_key_signature“, те могат да „заобиколят защитата на сигурността на частните ключове в MPC портфейлите“, каза компанията в съобщението си за пресата. Това може да позволи на атакуващ да прави поръчки, да извършва трансфери на ниво 2, да отменя поръчки и да участва в други неразрешени транзакции.

Свързани: Нова измама с „прехвърляне на нулева стойност“ е насочена към потребителите на Ethereum

Safeheron предполага, че уязвимостта само изтича частните ключове на потребителите към доставчика на портфейла. Следователно, докато самият доставчик на портфейла не е нечестен и не е превзет от нападател, средствата на потребителя трябва да са в безопасност. Въпреки това се твърди, че това прави потребителя зависим от доверието в доставчика на портфейла. Това може да позволи на нападателите да заобиколят сигурността на портфейла, като атакуват самата платформа, както компанията обясни:

„Взаимодействието между MPC портфейлите и dYdX или подобни dApps [децентрализирани приложения], които използват ключове, получени от подпис, подкопава принципа на самостоятелна защита за платформите за MPC портфейли. Клиентите може да са в състояние да заобиколят предварително дефинираните правила за транзакции, а служителите, които са напуснали организацията, все още могат да запазят способността да управляват dApp.“

Компанията каза, че работи с разработчиците на Web3 приложения Fireblocks, Fordefi, ZenGo и StarkWare, за да коригира уязвимостта. Той също така е уведомил dYdX за проблема, каза той. В средата на март компанията планира да направи своя протокол с отворен код в опит да помогне допълнително на разработчиците на приложения да коригират уязвимостта.

Cointelegraph се опита да се свърже с dYdX, но не успя да получи отговор преди публикуването.

Авиху Леви, ръководител на продуктовия отдел в StarkWare, каза пред Cointelegraph, че компанията приветства опита на Safeheron да повиши осведомеността относно проблема и да помогне за предоставянето на решение, заявявайки:

 „Страхотно е, че Safeheron предоставя протокол с отворен код, фокусиращ се върху това предизвикателство[…]Насърчаваме разработчиците да се справят с всяко предизвикателство за сигурността, което би трябвало да възникне при всяка интеграция, колкото и ограничен да е нейният обхват. Това включва предизвикателството, което се обсъжда сега.

Старкнет е слой 2 Ethereum протокол, който използва доказателства с нулево знание за защита на мрежата. Когато потребител за първи път се свърже с приложение на Starknet, той извлича ключ STARK, използвайки своя обикновен портфейл Ethereum. Това е процесът, който Safeheron казва, че води до изтичане на ключове за MPC портфейли.

Starknet се опита да подобри своята сигурност и децентрализация през февруари чрез отваряне на своя доказател.