Предупреждение о выводе средств с кошелька! 😱 Один ключ подписи = конец?

Пост ХодлХ Гуэста, Отправить Ваш Пост

Кажется, в мире DeFi никогда не бывает скучно! На этот раз обнаружена весьма неприятная уязвимость в широко используемой эллиптической библиотеке.

📰 Если будильник уже порядком давит, а новости кажутся скучными –
Новости Сегодня подают события с таким сарказмом, что даже утро начинает улыбаться!

Присоединиться в Telegram

Чтобы усугубить ситуацию, похоже, что использование этого может привести к тому, что хакеры украдут приватные ключи пользователей и, разумеется, опустошат их кошельки. Бесстыдство!

Все это, заметьте, благодаря простому мошенническому сообщению, подписанному пользователем. Можно задаться вопросом: является ли это критическим вопросом? Дрожь берет от мысли об этом!

Первым моментом, который стоит учитывать, является довольно удобный факт, что библиотеки вроде эллиптических предоставляют разработчикам готовые компоненты кода. Это настоящий укороченный путь, позволю себе сказать так.

Это означает, что вместо написания кода с нуля и тщательной проверки каждой строки (что действительно утомительно), разработчики просто берут нужные им элементы. Экономия усилий, верно? 🤔

Хотя это часто считается более безопасной практикой (поскольку библиотеки постоянно используются и тестируются), она также существенно увеличивает риски в случае утечки уязвимости. Одно гнилое яблоко может испортить всю корзину.

Библиотека эллиптических кривых активно используется во всем экосистеме JavaScript. Она обеспечивает криптографические функции в множестве известных блокчейн-проектов, веб-приложений и систем безопасности. Настоящий трудоголик! 😋

Согласно статистике NPX, пакет с этой досадной ошибкой скачивается примерно от 12 до 13 миллионов раз в неделю, при этом свыше 3000 проектов напрямую указывают его как зависимость. Боже милостивый, какая запутанная сеть! ️

Это повсеместное использование подразумевает, что уязвимость потенциально затрагивает огромное количество приложений — особенно криптовалютные кошельки, узлы блокчейна и системы электронной подписи — а также любую услугу, полагающуюся на подписи ECDSA через эллиптические кривые, особенно при обработке внешних входных данных. Можно предположить катастрофу внушительных масштабов.

Эта уязвимость по сути позволяет удалённым злоумышленникам полностью скомпрометировать конфиденциальные данные без малейшего разрешения. Какая наглость!

Вот почему проблема получила чрезвычайно высокую оценку серьезности — примерно девять из десяти по шкале CVSS. По-настоящему ужасный результат!

Важно отметить, что использование этой уязвимости требует строго определенной последовательности действий, и жертва вынуждена подписать произвольные данные, предоставленные атакующей стороной. Печальный сценарий!

Это значит, что некоторые проекты могут остаться защищёнными, например, если приложение подписывает только заранее определённые внутренние сообщения.

Тем не менее, многие пользователи, к сожалению, не уделяют достаточного внимания при подписании сообщений через крипто-кошельки, как они делают это при подтверждении транзакций. Печальное положение дел, действительно! 😔

Когда веб-сайт версии 3.0 просит пользователей подписать условия обслуживания, часто пренебрегают чтением этих условий. Какая небрежность!

Аналогично, пользователи могли бы быстро подписать сообщение о раздаче без полного понимания последствий. О, глупость всего этого!

Технические подробности

Проблема, как это часто случается, происходит из-за неправильной обработки ошибок — в данном случае при создании подписей алгоритма цифровой подписи эллиптических кривых (ECDSA). Какая небрежность!

ECDSA часто используется для подтверждения подлинности сообщений, таких как транзакции в блокчейне. Очень важно думать об этом!

Чтобы создать подпись, вам нужен секретный ключ (только владелец его знает) и уникальное случайное число под названием ‘nonce’. Этот процесс действительно напоминает изящный танец!

Если один и тот же нонсенс используется более одного раза для разных сообщений, кто-то мог бы — боже упаси! — вычислить секретный ключ, используя математику, о ужас! 😱

Обычно злоумышленники не могут вычислить приватный ключ по одной или двум подписям, поскольку каждая из них использует уникальное случайное число (nonce). Конечно, это облегчение! 😌

Но у эллиптической библиотеки есть недостаток — если она получит входное значение необычного типа (например, специальную строку вместо ожидаемого формата), то может создать две подписи с одинаковым номером для разных сообщений. Какая досадная ошибка!

Эта ошибка может раскрыть приватный ключ, что ни в коем случае не должно происходить при правильном использовании ECDSA. Последствия слишком ужасны для представления!

Для использования этой уязвимости злоумышленнику необходимы две вещи.

Допустимое сообщение и его подпись от пользователя — например, из любых предыдущих взаимодействий.
Пользователь явно создал второе сообщение с целью использования уязвимости. Это самая коварная ловушка!

С этими двумя подписями злоумышленник может вычислить закрытый ключ пользователя, получив полный доступ к средствам и действиям, связанным с ним. Подробная информация доступна в GitHub Security Advisory. Настоящее сокровище для недобросовестных пользователей! ‍️

Сценарии эксплуатации

Злоумышленники могут воспользоваться этой уязвимостью различными методами, включая следующие.

Фишинг атаки, которые направляют пользователей на фальшивые сайты и запрашивают подписи сообщений. Какая коварная обманка! 😈
Вредоносные децентрализованные приложения, замаскированные под безобидные сервисы, например, подписание условий использования или участие в аирдропах. Волки в овечьей шкуре не менее опасны!
Социальная инженерия убеждает пользователей подписать внешне безобидные сообщения. Искусство убеждения, обращенное к темным целям!
Утечка секретных ключей серверов, которые подписывают сообщения от пользователей. Самое злостное предательство доверия!

Особенно тревожным аспектом является общая небрежность пользователей при подписании сообщений по сравнению с транзакциями. Это безрассудство вызывает наибольшее беспокойство!

Криптопроекты часто просят пользователей подписать условия использования или сообщения об участии в аирдропах, что может облегчить эксплуатацию. Кажется, это плодородная почва для злодеяний! 🌱

Итак, подумайте об этом — вы бы подписали сообщение за право получить бесплатные токены? А что если эта подпись могла стоить вам весь ваш баланс криптовалюты? Холодная перспектива, правда! ❄️

Рекомендации

Пользователи должны немедленно обновить все приложения и кошельки, использующие библиотеку elliptic для подписей, до последней безопасной версии.

Будьте осторожны при подписании сообщений, особенно от незнакомых или подозрительных источников. Береженого Бог бережет!

Разработчики кошельков и приложений должны проверять версию своей эллиптической библиотеки. Одна заплата вовремя стоит девяти, в конце концов!

Если на пользователей могла повлиять уязвимая версия продукта, разработчики должны сообщить им о срочной необходимости обновления. Это не менее важная гражданская обязанность!

Глеб Зыков является соучредителем и техническим директором компании HashEx Blockchain Security. Он обладает более чем 14-летним опытом в IT индустрии и свыше восьми лет — в области интернет безопасности, а также имеет солидное техническое образование в сфере блокчейн технологий (Bitcoin, Ethereum и блокчейны на основе EVM). Похоже, он человек с большим экспертным уровнем! 🧐

Следуйте за нами в Twitter, Facebook и Telegram

Смотрите также

2025-04-05 06:44