Siber güvenlik firması Halborn'a göre, 280 veya daha fazla blockchain ağının en az 25 milyar dolar değerinde kriptoyu riske atabilecek "sıfır gün" istismar riski altında olduğu tahmin ediliyor.
13 Mart'ta blog, Halborn, "Rab13s" olarak adlandırdığı güvenlik açığı konusunda uyarıda bulundu ve Dogecoin, Litecoin ve Zcash gibi bazı blok zincirleriyle bir düzeltme oluşturmak için zaten çalıştığını ekledi.
Halborn masif keşfetti #SıfırGün Dogecoin ve Litecoin ile Zcash dahil 280'den fazla ağı etkileyerek 25 Milyar Doların üzerinde dijital varlığı riske atıyor!
...
— Halborn (@HalbornSecurity) 13 Mart, 2023
Halborn, Mart 2022'de kod tabanının güvenlik incelemesini yürütmek üzere Dogecoin ile sözleşme imzaladı ve "birkaç kritik ve kötüye kullanılabilir güvenlik açığı" buldu.
Daha sonra bunları belirledi aynı güvenlik açıkları milyarlarca dolar değerinde kripto para birimini riske atan "280'den fazla diğer ağı etkiledi".
Halborn, "en kritik" olanı bir saldırganın "tek tek düğümlere hazırlanmış kötü amaçlı fikir birliği mesajları göndererek her birinin kapanmasına" olanak tanıyan üç güvenlik açığını özetledi.
3/ Keşfedilen en kritik güvenlik açığı, saldırganların mutabakat mesajları hazırlayıp tek tek düğümlere göndererek onları çevrimdışı duruma getirebildiği eşler arası (p2p) iletişimle ilgilidir.
liderliğindeki Halborn araştırmacıları @safe_buffer, bu güvenlik açığına kod adı verdi #Rab13s.
— Halborn (@HalbornSecurity) 13 Mart, 2023
Zaman içinde bu mesajları ekledi, blok zincirini bir duruma maruz bırakabilir. 51% saldırı bir saldırganın ağın çoğunluğunu kontrol ettiği yerde madencilik karma oranı veya blok zincirinin yeni bir sürümünü oluşturmak veya çevrimdışı duruma getirmek için belirteçleri stake edin.
Bulduğu diğer sıfır gün güvenlik açıkları, potansiyel saldırganların çökmesine izin verebilir blockchain düğümleri Uzaktan Yordam Çağrısı (RPC) istekleri göndererek — bir programın iletişim kurmasına ve başka bir programdan hizmet istemesine izin veren bir protokol.
7/ İkinci olarak, saldırganlar normal bir düğüm kullanıcısı olarak genel arabirim (RPC) aracılığıyla kod yürütebilir. Saldırıyı gerçekleştirmek için geçerli bir kimlik bilgisi gerektiğinden, bu açıktan yararlanma olasılığı daha düşüktür.
— Halborn (@HalbornSecurity) 13 Mart, 2023
Saldırıyı gerçekleştirmek için geçerli kimlik bilgileri gerektirdiğinden, RPC ile ilgili açıklardan yararlanma olasılığının daha düşük olduğunu ekledi.
Halborn, "Ağlar arasındaki kod tabanı farklılıkları nedeniyle, tüm güvenlik açıklarından tüm ağlarda yararlanılamaz, ancak bunlardan en az biri her ağda kullanılabilir" uyarısında bulundu.
İlgili: Jump Crypto ve Oasis.app, 225 milyon $'a Wormhole korsanına 'karşı istismar' yapıyor
Firma, şu anda güvenlik açıklarının ciddiyeti nedeniyle daha fazla teknik ayrıntı yayınlamadığını söyledi ve potansiyel açıkları ifşa etmek ve güvenlik açıklarına çözüm sağlamak için etkilenen tüm taraflarla iletişime geçmek için “iyi niyetli bir çaba” gösterdiğini ekledi.
Dogecoin, Zcash ve Litecoin, keşfedilen güvenlik açıkları için zaten yamalar uyguladı, ancak Halborn'a göre yüzlerce kişi hala açığa çıkabilir.
Kaynak: https://cointelegraph.com/news/more-than-280-blockchains-at-risk-of-zero-day-exploits-warns-security-firm