נייר הפנטגון מזהיר מפני נקודות תורפה גדולות בבלוקצ'יין הביטקוין

כמו תעשיית הקריפטו ממשיך להתרחב והופך למטרה אטרקטיבית יותר ויותר עבור האקרים, הפנטגון הזמין מחקר שגילה כמה פרצות, המפורטות בדוח נלווה.

אכן, הדו"ח, שפורסם ב-21 ביוני וכותרתו "האם בלוקצ'יין מבוזר? מרכזים לא מכוונים בפנקסים מבוזרים," גילה כי "קבוצת משנה של משתתפים יכולה להשיג שליטה מרוכזת מוגזמת על המערכת כולה."

המחקר, המתמקד בביטקוין (BTC) ואתריום (ETH), בוצעה על ידי חברת מחקר האבטחה Trail of Bits בהנחיית סוכנות הפרויקטים המתקדמים למחקרים מתקדמים של הפנטגון (DARPA).

על פי הדו"ח:

"מספר הישויות המספיק כדי לשבש בלוקצ'יין נמוך יחסית: ארבע עבור ביטקוין, שניים עבור Ethereum ופחות מתריסר עבור רוב רשתות ה-PoS." 

60% מתעבורת הביטקוין עוברת רק דרך 3 ספקי אינטרנט

יתרה מכך, הדו"ח אמר כי "מכל תעבורת הביטקוין, 60% עוברים רק שלושה ספקי אינטרנט", בהתייחסו לספקי שירותי אינטרנט. נוסף על כך, "נראה שהרוב המכריע של צמתי הביטקוין לא משתתפים בכרייה ומפעילי הצמתים לא עומדים בפני עונש מפורש על חוסר יושר".

כפי שמזהירים האנליסטים, "פריסת צומת חדש דורשת רק מופע אחד של שרת ענן זול - אין צורך בחומרת כרייה מיוחדת." זה מאפשר את האפשרות להציף את רשת הקונצנזוס של בלוקצ'יין בצמתים חדשים וזדוניים הנשלטים על ידי צד בודד במה שנקרא מתקפת סיביל.

בעיות נוספות כוללות פרוטוקולים ותוכנות לא מעודכנים ולא מוצפנים, כולם חושפים את הרשת להתקפות. כפי שמסביר הדו"ח:

"בטיחות הבלוקצ'יין תלויה באבטחת התוכנה והפרוטוקולים של הממשל או מנגנוני הקונצנזוס שלו מחוץ לשרשרת."

בריכות כרייה לא זהירות

הדו"ח גם גילה שכל מאגרי הכרייה שבדקו האנליסטים שלו "או מקצים סיסמה מקודדת לכל החשבונות או פשוט לא מאמתים את הסיסמה שסופקה במהלך האימות".

כדוגמה, הדו"ח השתמש בנוהג של מאגר הכרייה העולמי של מטבעות קריפטוגרפיים ViaBTC של הקצאת לכאורה את הסיסמה '123' לכל חשבונותיה. חברת כרייה אחרת, פולין, "נראה שאינה מאמתת אישורי אימות כלל", ואילו סלושפול "מורה במפורש למשתמשים שלה להתעלם משדה הסיסמה".

על פי הנתונים הזמינים, שלושת בריכות הכרייה הללו מהוות כ-25% מההאשרט של הביטקוין.

אבטחת סייבר חוקרים מתריעים לעתים קרובות מפני חולשות פוטנציאליות הקשורות לקריפטו שעלולות להוביל לתקריות כמו זו ש פינבול דווח באמצע אפריל, שבו א התוקף הצליח לגנוב את כל האוסף של אדם של קריפטו ואסימונים שאינם ניתנים לשינוי (NFTs) בשווי של יותר מ-$650,000 מה-MetaMask שלהם ארנק הצפנה.