Optimism тихо запобігла серйозному інциденту безпеки у своєму коді до Lagoon, розкривши критичну вразливість, яку було виправлено до будь-якого використання у виробничому середовищі, і жодні кошти не були втрачені. У пості на форумі управління Optimism команда детально описала недолік у шляху «verify» SDM, який міг приймати підроблені дані про повернення коштів без повторного обчислення очікуваних результатів. Простими словами: система могла довіряти даним про повернення, які не мали незалежних підстав для довіри — це ризикова прогалина в логіці, яка, якщо її не виправити, могла б дозволити зловмисникам запускати неправомірні повернення коштів або клейми. Чому це мали значення - Логіка повернення коштів та перевірки є одними з найбільш чутливих частин інфраструктури блокчейну. Маленькі, невиявлені припущення у міжсистемному обліку або перевірці повідомлень можуть призвести до великих реальних втрат. - Конкретна небезпека полягала в тому, що шлях перевірки приймав надані дані замість того, щоб повторно обчислити та підтвердити правильний результат. Коли система довіряє зовнішнім значенням, які не може самостійно перевірити, підроблені вхідні дані стають потужним вектором атаки. Добра новина Optimism повідомляє, що баг був виправлений до того, як оновлення Lagoon досягло виробничого середовища, і жодні кошти не були задіяні. Цей часовий проміжок є ключовим: це історія успіху в безпеці — про виявлення, усунення та розкриття, а не про пост-експлуатаційний аналіз. Чому розкриття має значення Публічне розкриття майже-несчастливого випадку — важливий знак здорового підходу до безпеки. Занадто часто єдиний раз, коли безпека криптовалют отримує широку увагу — це після того, як мост було розкрадено або протокол скомпрометовано. Навпаки, прозорість Optimism демонструє діючий життєвий цикл управління вразливостями: виявити проблему, виправити її та пояснити спільноті, що сталося. Контекст для Layer 2 Мережі Layer 2, такі як Optimism, — це більше, ніж ізольовані додатки — це рівні розрахунків та виконання, на які спираються інші протоколи. Вони вводять складні компоненти (секвенсори, мости, докази шахрайства, механізми оновлень, межмережеве повідомлення), і кожна додана функція — це новий потенційний вектор атаки. Ця складність підвищує ставки для строгого підтвердження та перевірки повторного обчислення там, де це можливо. Що інші команди повинні засвоїти - Повторно обчислюйте, а не слепо довіряйте зовнішнім даним перевірки. - Публікуйте знаходження до оновлення, щоб допомогти ширшому екосистемному співтовариству виявити подібні пастки. - Вважайте шляхи повернення коштів та обліку критичним кодом, який потребує додаткового аналізу. Формулювання: збалансоване, а не панічне Правильний висновок — збалансований: це була серйозна вразливість у критичному шляху, але її було виявлено та усунено до того, як вона досягла виробничого середовища та до того, як будь-які кошти були втрачені. Ця розмежування запобігає непотрібній паніці, одночасно підкреслюючи важливость постійної уваги. Розкриття Optimism до Lagoon — це багато більше, ніж окремий технічний запис — це корисна точка даних для команд безпеки по всьому модульному та Layer 2 екосистемам. Публічні звіти про майже-несчастливий випадок допомагають покращити стандарти, поширюють накопичене досвід і будують довіру до того, що команди активно керують ризиками під час масштабування цих мереж. Цей звіт базується на розкриттi на форумi управлiння Optimism. Написано News Desk; редаговано Самуелем Рейом.
Optimism усунула критичну помилку перевірки повернення коштів перед оновленням Lagoon
ChainGPTПоділитися
Короткий зміст
Optimism усунула критичну помилку перевірки повернення коштів перед оновленням мережі Lagoon. Цей недолік, виявлений у шляху «verify» SDM, міг дозволити обійти перевірки шляхом підміни завантажень. Виправлення було застосоване до того, як оновлення блокчейну досягло виробничого середовища, жодні кошти не були втрачені. Команда підкреслила необхідність повторного обчислення даних перевірки замість покладання на зовнішні вхідні дані. Також було зазначено, що публічне розголошення є ключовим для підвищення безпеки процесу оновлення мережі.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.