ארנקי Multisig פגיעים לניצול על ידי אפליקציות Starknet, אומר המפתח Safeheron

ניתן לנצל ארנקים מרובי חתימות (רב-סייג) מסוימים על ידי אפליקציות Web3 המשתמשות בפרוטוקול Starknet, על פי הודעה לעיתונות מ-9 במרץ שסופקה ל-Cointelegraph על ידי מפתחת הארנקים Multi-Party Computation (MPC) Safeheron. הפגיעות משפיעה על ארנקי MPC המקיימים אינטראקציה עם אפליקציות Starknet כגון dYdX. לפי ההודעה לעיתונות, Safeheron עובדת עם מפתחי אפליקציות כדי לתקן את הפגיעות.

על פי תיעוד הפרוטוקול של Safeheron, ארנקי MPC משמשים לעתים על ידי מוסדות פיננסיים ומפתחי אפליקציות Web3 כדי לאבטח נכסי קריפטו שבבעלותם. בדומה לארנק multisig סטנדרטי, הם לדרוש חתימות מרובות עבור כל עסקה. אבל בניגוד למולטיסיגים סטנדרטיים, הם לא דורשים לפרוס חוזים חכמים מיוחדים לבלוקצ'יין, וגם לא חייבים להיות מובנים בפרוטוקול הבלוקצ'יין.

במקום זאת, ארנקים אלו פועלים על ידי יצירת "רסיסי מפתח" פרטי, כאשר כל רסיס מוחזק על ידי חותם אחד. יש לחבר את הרסיסים הללו מחוץ לשרשרת כדי לייצר חתימה. בגלל ההבדל הזה, ארנקי MPC יכולים לקבל עמלות גז נמוכות יותר מאשר סוגים אחרים של מולטי-סיג ויכולים להיות אגנוסטיים לבלוקצ'יין, על פי המסמכים.

ארנקי MPC הם לעתים קרובות נתפס כבטוח יותר מאשר ארנקי חתימה בודדת, שכן תוקף לא יכול לפרוץ אותם בדרך כלל אלא אם הם מתפשרים על יותר ממכשיר אחד.

עם זאת, Safeheron טוענת שגילתה ליקוי אבטחה המתעורר כאשר ארנקים אלו מקיימים אינטראקציה עם אפליקציות מבוססות Starknet כגון dYdX ו-Fireblocks. כאשר האפליקציות הללו "משיגות star_key_signature ו/או api_key_signature", הן יכולות "לעקוף את הגנת האבטחה של מפתחות פרטיים בארנקי MPC", אמרה החברה בהודעה לעיתונות שלה. זה יכול לאפשר לתוקף לבצע הזמנות, לבצע העברות שכבה 2, לבטל הזמנות ולעסוק בעסקאות לא מורשות אחרות.

מידע נוסף: הונאת "העברת ערך אפס" חדשה מכוונת למשתמשי Ethereum

Safeheron רמזה שהפגיעות מדליפה רק את המפתחות הפרטיים של המשתמשים לספקית הארנק. לכן, כל עוד ספק הארנק עצמו אינו ישר ולא השתלט על ידי תוקף, הכספים של המשתמש צריכים להיות בטוחים. עם זאת, היא טענה כי הדבר הופך את המשתמש לתלוי באמון בספק הארנק. זה יכול לאפשר לתוקפים לעקוף את אבטחת הארנק על ידי תקיפת הפלטפורמה עצמה, כפי שהחברה הסבירה:

"האינטראקציה בין ארנקי MPC לבין dYdX או אפליקציות dApps [יישומים מבוזרים] דומים המשתמשים במפתחות שמקורם בחתימה מערערת את עקרון המשמורת העצמית עבור פלטפורמות ארנק MPC. לקוחות עשויים להיות מסוגלים לעקוף מדיניות עסקאות שהוגדרה מראש, ועובדים שעזבו את הארגון עשויים עדיין לשמור על היכולת להפעיל את dApp."

החברה אמרה שהיא עובדת עם מפתחי אפליקציות Web3 Fireblocks, Fordefi, ZenGo ו-StarkWare כדי לתקן את הפגיעות. זה גם גרם ל-dYdX להיות מודע לבעיה, נאמר. באמצע מרץ, החברה מתכננת להפוך את הפרוטוקול שלה לקוד פתוח במאמץ להמשיך לעזור למפתחי אפליקציות לתקן את הפגיעות.

קוינטלגרף ניסה ליצור קשר עם dYdX, אך לא הצליח לקבל תגובה לפני הפרסום.

אביהו לוי, ראש מחלקת מוצר ב-StarkWare אמר ל-Cointelegraph כי החברה מברכת על הניסיון של Safeheron להעלות את המודעות לנושא ולעזור בפתרון, בהצהרה:

 "זה נהדר ש-Safeheron מוציאה פרוטוקול פתוח המתמקד באתגר הזה[...]אנו מעודדים מפתחים לטפל בכל אתגר אבטחה שצריך להתעורר עם כל אינטגרציה, ככל שהיקפו מוגבל. זה כולל את האתגר הנדון כעת.

סטארקנט היא שכבה 2 פרוטוקול Ethereum זה משתמש בהוכחות אפס ידע כדי לאבטח את הרשת. כאשר משתמש מתחבר לראשונה לאפליקציית Starknet, הוא שואב מפתח STARK באמצעות ארנק Ethereum הרגיל שלו. תהליך זה הוא שלדברי Safeheron גורם לדליפות מפתחות עבור ארנקי MPC.

Starknet ניסתה לשפר את האבטחה והביזור שלה בפברואר על ידי קוד פתוח המוכיח את עצמו.