A Trail of Bits revelou uma falha de autorização na Provenance Blockchain que, segundo ela, expôs 82 contas de ativos ativos no mainnet à tomada de controle. Um abuso bem-sucedido poderia permitir que alguém cunhasse um token afetado ou sacasse ativos mantidos em custódia.
Essas contas de ativos especiais, chamadas marcadores, governam a oferta, as permissões e o saldo em custódia de um token. A empresa de segurança afirmou que a falha permitiu a um usuário que não detinha nenhum dos tokens do marcador assumir suas permissões de administrador, cunhagem e retirada, e então agir sobre elas em uma segunda transação.
O bug surgiu de uma incompatibilidade entre dois registros da oferta de token. Para marcadores não fixos, o módulo bancário da Provenance rastreia a oferta circulante em tempo real, enquanto o campo de oferta do marcador pode permanecer em zero.
A verificação de autorização leu o campo marcador obsoleto ao testar se uma conta detinha toda a oferta. Como o saldo de uma nova conta também era zero, a verificação tratou zero como igual a zero e aprovou a alteração de permissão.
Trail of Bits disse que todos os 82 marcadores afetados tinham oferta armazenada zero, enquanto carregavam oferta circulante real ou ativos em custódia.
O escrow afetado divulgado totalizou aproximadamente 30 quatrilhões de nhash, valendo cerca de US$ 500.000 aos preços de HASH quando o problema foi descoberto. Três programas da Provenance Blockchain Foundation detinham a maior parte: grant0051 detinha cerca de 19,23 quatrilhões de nhash, provenance.validator.incentive.program detinha cerca de 8,56 quatrilhões e grant0077 detinha cerca de 2,49 quatrilhões.
Um subconjunto distinto de 74 tokens, incluído no total de 82, enfrentou risco de cunhagem não autorizada. Ele abrangeu stablecoins pontes, ativos embrulhados, depósitos de consórcio, participações hipotecárias tokenizadas e tokens de rendimento.
Exemplos nomeados incluem uusd.trading, uusdc.figure.se, nbtc.figure.se, cusd.deposit, cguaranteedrateomni, chomebridgeomni, nuva.ylds e uylds.fcc.
Trail of Bits descreveu um risco direto de inflação para marcadores do tipo moeda sem restrições. Tokens restritos com requisitos de identidade enfrentaram riscos de integridade da oferta e solvência, mesmo que um atacante não pudesse transferir livremente unidades recém-criadas.
A Trail of Bits disse que descobriu a falha em março e a relatou à Provenance em 1º de abril. Ela afirmou que um zero-supply guard lançado com v1.28.0 em 1º de maio bloqueou o caminho relatado contra todos os 82 marcadores identificados.
Uma segunda variação fez a verificação de autorização ler a oferta em tempo real do módulo bancário, e o projeto a incluiu em v1.29.0 em 8 de junho.
Os registros do GitHub mostram que as alterações de código foram mescladas e liberadas. A divulgação da Trail of Bits não indica se a análise da cadeia encontrou acesso não autorizado, cunhagem ou retiradas, nem se notificou os emissores e usuários afetados.
A post Um bug de saldo zero permitiu que carteiras vazias assumissem o controle de 82 ativos da Provenance apareceu primeiro em CryptoSlate.