Bitcoinjs-lib, una biblioteca de software para construir aplicaciones de Bitcoin, ha corregido dos errores que pueden hacer que las aplicaciones subestimen las tarifas de los mineros en transacciones válidas. Las divulgaciones de seguridad del 26 de octubre identifican las versiones corregidas 5.2.2, 6.1.9 y 7.0.4 para las respectivas líneas de lanzamiento. Las aplicaciones están en riesgo cuando importan los paquetes y confían en el cálculo de tarifas de la biblioteca o en la protección contra tarifas excesivas sin verificar independientemente las salidas que se gastan.
Las fallas involucran transacciones de bitcoin parcialmente firmadas (PSBT). BIP 174 define las PSBT como un formato para intercambiar detalles de transacciones y firmas entre clientes. La firma, la combinación de firmas, la finalización de entradas y la extracción de transacción siguen siendo operaciones distintas, incluso dentro de una sola aplicación. Una transacción de bitcoin paga una tarifa igual al valor total de las entradas menos el valor total de las salidas. Subestimar el valor de una entrada hace que la tarifa calculada parezca más baja.
La primera falla permite que la firma y el cálculo de tarifas asignen valores diferentes al mismo input. La firma se basa en la transacción anterior completa, mientras que el cálculo de tarifas privilegia un registro contradictorio con un valor más bajo. El software vulnerable puede autorizar así la transacción real mientras evalúa una tarifa incorrecta. El aviso describe una demostración con bitcoinjs-lib 7.0.1 en la que la tarifa real es de 900.000.000 satoshis y la tarifa reportada es de 200 satoshis. La demostración generó una firma verificada y permitió la extracción sin activar la advertencia predeterminada de tasa de tarifa.
El segundo aviso describe entradas finalizadas que carecen de registros de valor de entrada. La calculadora de tarifas trata esas entradas como si tuvieran valor cero. Una aplicación puede importar un PSBT ya firmado de otra parte y llegar a ese cálculo sin necesidad de firmar nuevamente. El segundo aviso presenta una transacción hipotética con una tarifa real de 91.000 satoshis y una tarifa reportada de 1.000 satoshis. Los scripts y firmas finalizados, por sí solos, no establecen el valor de una entrada cuyos registros de valor estén ausentes.
La falla de registro conflictivo afecta las versiones 5.2.0 a 5.2.1, las versiones 6.0.0 a 6.1.8, incluyendo 6.1.0-rc.0, y las versiones 7.0.0-rc.0 a 7.0.3. La falla de registro ausente afecta las mismas versiones 6 y 7, además de las versiones 5.1.0 a 5.2.1. La pérdida financiera requiere que una transacción autorizada y válida sea transmitida a la red y aceptada. Los errores no pueden generar firmas, y el valor excedente se entrega a los mineros como tarifa.
Las correcciones hacen que la firma y la contabilidad utilicen un solo método para resolver salidas anteriores. Las correcciones rechazan valores o scripts conflictivos y requieren un valor para cada entrada al calcular las tarifas. Las correcciones también invalidan tarifas en caché y transacciones extraídas tras cambios o combinaciones relevantes en los metadatos. Los mantenedores deben verificar las versiones de las dependencias y revisar la validación de los PSBT importados. Los mantenedores que no puedan actualizar deben confirmar independientemente los valores de salida referenciados. Los mantenedores deben rechazar registros conflictivos antes de firmar o confiar en tarifas calculadas. Los mantenedores deben verificar el valor de cada entrada antes de confiar en tarifas o extraer una transacción.
Bitcoinjs-lib corrige 2 errores que podrían causar una subestimación de las tarifas
CryptoSlateCompartir
Resumen
Noticia urgente sobre bitcoin: Bitcoinjs-lib ha lanzado parches para dos errores que podrían provocar una subestimación de las tarifas en aplicaciones de bitcoin. Las vulnerabilidades, relacionadas con PSBT, podrían permitir cálculos incorrectos de tarifas y pérdidas financieras. Corregidos en las versiones 5.2.2, 6.1.9 y 7.0.4, las actualizaciones garantizan métodos consistentes para resolver salidas y calcular tarifas. Los medios de comunicación sobre bitcoin destacan la urgencia de actualizar las aplicaciones afectadas.
Fuente:Mostrar original
Descargo de responsabilidad: La información contenida en esta página puede proceder de terceros y no refleja necesariamente los puntos de vista u opiniones de KuCoin. Este contenido se proporciona solo con fines informativos generales, sin ninguna representación o garantía de ningún tipo, y tampoco debe interpretarse como asesoramiento financiero o de inversión. KuCoin no es responsable de ningún error u omisión, ni de ningún resultado derivado del uso de esta información.
Las inversiones en activos digitales pueden ser arriesgadas. Evalúa con cuidado los riesgos de un producto y tu tolerancia al riesgo en función de tus propias circunstancias financieras. Para más información, consulta nuestras Condiciones de uso y la Declaración de riesgos.