BitGo یک آسیب‌پذیری را اصلاح کرده است که کلیدهای خصوصی کاربران خرده‌فروشی و سازمانی را تهدید می‌کند.
کیف پول ارزهای دیجیتال BitGo یک آسیب‌پذیری مهم را اصلاح کرده است که می‌تواند کلیدهای خصوصی کاربران خرده‌فروشی و سازمانی را فاش کند.
تیم تحقیقاتی کریپتوگرافی Fireblocks آسیب پذیری را شناسایی کرده و در دسامبر 2022 به تیم BitGo گزارش داد. این آسیب‌پذیری مربوط به کیف پول‌های BitGo Threshold Signature Scheme (TSS) بود و پتانسیل افشای کلیدهای خصوصی صرافی‌ها، بانک‌ها، کسب‌وکارها و کاربران پلت‌فرم را داشت.
تیم Fireblocks این آسیب‌پذیری را به‌عنوان آسیب‌پذیری حفاظتی BitGo Zero نامگذاری کرد که به مهاجمان احتمالی اجازه می‌دهد با استفاده از مقدار کمی کد جاوا اسکریپت، در کمتر از یک دقیقه کلید خصوصی را به دست آورند. BitGo این سرویس آسیب‌پذیر را در 10 دسامبر به حالت تعلیق درآورد و در فوریه 2023 وصله‌ای منتشر کرد که نیاز به به‌روزرسانی سمت کلاینت به آخرین نسخه تا 17 مارس داشت.
تیم Fireblocks نحوه شناسایی اکسپلویت را با استفاده از یک حساب رایگان BitGo در شبکه اصلی توضیح داد. یک قطعه گمشده از مدارک اجباری دانش صفر در پروتکل کیف پول ECDSA TSS BitGo به تیم اجازه داد تا کلید خصوصی را از طریق یک حمله ساده فاش کند.
مرتبط: Euler Finance، بیش از 195 میلیون دلار در یک حمله اعتباری ناگهانی هک شد
پلتفرم‌های دارایی‌های ارز دیجیتال در سطح سازمانی استاندارد صنعتی از محاسبات چند جانبه (MPC/TSS) یا فناوری چند امضایی استفاده می‌کنند تا امکان یک نقطه حمله را از بین ببرند. این کار با توزیع یک کلید خصوصی بین چندین طرف انجام می شود تا در صورت به خطر افتادن یک طرف، بررسی های امنیتی ارائه شود.
Fireblocks توانست ثابت کند که مهاجمان داخلی یا خارجی می توانند به دو روش ممکن به یک کلید خصوصی کامل دسترسی پیدا کنند.
یک کاربر در معرض خطر در سمت کلاینت می تواند فرآیندی را برای بازیابی بخشی از کلید خصوصی موجود در سیستم BitGo آغاز کند. سپس BitGo قبل از اینکه BitGo اطلاعات لو رفته قطعه کلید را به اشتراک بگذارد، محاسبه امضا را انجام می دهد.
مهاجم اکنون می‌تواند کلید خصوصی کامل را بازسازی کند، آن را در یک کیف پول خارجی آپلود کند و فوراً یا در مراحل بعدی وجوه را برداشت کند.»
اگر BitGo در معرض خطر قرار گرفت، سناریوی دوم یک حمله در نظر گرفته شد. مهاجم قبل از پاسخ دادن با مقدار مخرب منتظر می ماند تا مشتری یک تراکنش را آغاز کند. سپس از این برای امضای معامله با قطعه کلید مشتری استفاده می شود. مهاجم می تواند از پاسخ برای فاش کردن قطعه کلید کاربر قبل از ترکیب آن با قطعه کلید BitGo برای به دست گرفتن کنترل کیف پول استفاده کند.
Fireblocks بیان می‌کند که هیچ حمله‌ای توسط بردار شناسایی‌شده انجام نشده است، اما به کاربران هشدار داد که قبل از وصله کردن، ایجاد کیف‌پول‌های جدید و انتقال وجه از کیف پول‌های ECDSA TSS BitGo را در نظر بگیرند.
هک کیف پول در سال های اخیر در صنعت ارزهای دیجیتال رایج شده است. بیش از 8 میلیون دلار از بیش از 7000 کیف پول Slope مبتنی بر Solana در آگوست 2022 برداشت شد. سرویس کیف پول شبکه Algorand MyAlgo نیز هدف یک حمله کیف پول قرار گرفت که شاهد سرازیر شدن بیش از 9 میلیون دلار از کیف پول های مختلف مختلف بود.
نویسنده: Gareth Jenkinson
