Penyelidik mengenal pasti kegagalan yang didakwa dalam cache pengesahan transaksi Liquid yang mungkin menjelaskan bagaimana kira-kira $320 juta dalam bitcoin keluar dari rangkaian. Token L-BTC Liquid dimaksudkan untuk disokong satu-ke-satu oleh BTC yang dipegang oleh federasinya. SideSwap mengatakan seorang pelanggan menghantar 4,000 L-BTC melalui perkhidmatan peg-out-nya pada 6 September. Perkhidmatan tersebut melepaskan kira-kira 3,996 BTC. Liquid mengatakan tiada kunci pengesahan peg-out SideSwap atau kunci federasi lain yang telah dikompromikan. Calle menggambarkan satu kecacatan yang melibatkan bukti julat. Bukti julat membenarkan nod mengesahkan bahawa jumlah transaksi yang disembunyikan berada dalam julat yang dibenarkan. Output negatif yang disembunyikan boleh menyeimbangkan output positif yang lebih besar. Nod menyimpan semakan bukti julat yang berjaya kerana pengesahan adalah mahal dari segi pengiraan. Menurut Calle, penyerang boleh mencipta output dan bukti yang tidak sah yang sepadan dengan kunci cache daripada semakan yang sah. Nod yang menggunakan hasil cache itu akan melangkau pengesahan yang sepatutnya menolak output tersebut. Charles Guillemet menyokong penjelasan itu. Guillemet menggambarkan satu perlanggaran kunci cache yang dirancang yang membolehkan transaksi rahsia yang tidak sah melintasi semakan julat. Calle berwaspada bahawa akunnya menyederhanakan mekanisme dan mungkin mengandungi kesilapan. Rekonstruksi transaksi Stu yang berasingan mengenal pasti transaksi persediaan sebelum transaksi yang didakwa tidak sah di blok Liquid 4,050,336. Stu mengatakan transaksi tersebut mencipta kira-kira 3,996.0183 L-BTC sebelum penarikan melalui SideSwap. Mononaut mengatakan kecacatan yang dieksploitasi memasuki cawangan pembangunan utama Elements minggu lepas. Mononaut mengatakan kecacatan itu tidak muncul dalam rilis bertanda. Mononaut mengatakan fungionari federasi Liquid kelihatannya menjalankan kod itu. Nod lain menolak transaksi yang tidak sah itu. Mononaut mengatakan fungionari federasi menerima transaksi eksploitasi itu. Mononaut mengatakan fungionari itu menyetujui penarikan. Mononaut mengatakan fungionari itu terus membina blok. Nod lain, termasuk nod yang menggerakkan Pengembara mempool Liquid, menolak blok yang terjejas. Perceraian nod ini boleh menjelaskan mengapa pengembara itu menghilangkan transaksi yang kelihatan di tempat lain. Blockstream belum mengesahkan akaun pelaksanaan dalam pernyataan yang tersedia. Jika ditubuhkan, akaun itu akan meletakkan pelaksanaan perisian sebagai pusat insiden tersebut. Pelaku yang mengawal bitcoin yang ditarik menggambarkan diri mereka sebagai whitehats. Mereka mensyaratkan pengembalian sebahagian besar dana dengan memperbaiki kecacatan di seluruh nod yang terjejas. Laporan yang tersedia tidak menetapkan pengembalian atau pelaksanaan pemaafan yang selesai.
Kekurangan Cache yang Didakwa Mungkin Menjelaskan Kerugian $320J dari Rangkaian Cecair
NS3Kongsi
Ringkasan
Aktiviti rangkaian di Liquid meningkat tajam selepas penyelidik mengungkap kelemahan yang didakwa dalam cache pengesahan transaksi, yang berpotensi menjelaskan aliran bitcoin sebanyak $320 juta. Pada 6 September, seorang pelanggan menghantar 4,000 L-BTC melalui perkhidmatan peg-out SideSwap, dengan hampir 3,996 BTC dikeluarkan. Kelemahan itu melibatkan bukti julat, membolehkan penyerang mencipta output tidak sah yang sepadan dengan kunci cache yang sah, melepasi pemeriksaan. Charles Guillemet mengesahkan bahawa perlanggaran kunci cache membolehkan transaksi itu melangkau pengesahan. Stu menghubungkan eksploitasi itu kepada pengaturan pra-transaksi dalam blok 4,050,336. Kerentanan ini dimasukkan ke dalam cawangan pembangunan Elements tetapi belum dirilis secara rasmi. Nod berbeza dalam responsnya, dengan beberapa menolak eksploitasi itu. Whitehats dilaporkan menarik dana dan menuntut penyelesaian menyeluruh rangkaian. Tiada pemaaf rasmi atau pengembalian dana telah disahkan. Metrik rangkaian menunjukkan penurunan tajam dalam kecekapan pengesahan selepas insiden itu.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.