Công ty bảo mật Halborn phát hiện ra các lỗ hổng Zero-Day ảnh hưởng đến Dogecoin, Litecoin, Zcash và hơn thế nữa 280 mạng

Halborn, một công ty bảo mật blockchain, đã đưa ra một tài liệu nói rằng vào tháng 3 năm 2022, Halborn đã được thuê để đánh giá xem có bất kỳ lỗ hổng nào trong cơ sở mã nguồn mở Dogecoin có thể ảnh hưởng đến bảo mật blockchain hay không. Tuy nhiên, sau khi xem xét rộng hơn, Halborn đã xác định rằng lỗ hổng tương tự, mà Halborn đặt tên mã là Rab13s, đã ảnh hưởng đến hơn 280 mạng khác, bao gồm Litecoin và Zcash, khiến hơn 25 tỷ đô la tài sản kỹ thuật số gặp rủi ro. Lỗ hổng Rab13s, được phát hiện trong cơ chế nhắn tin P2P của mạng bị ảnh hưởng, có thể cho phép kẻ tấn công gửi các thông báo đồng thuận được tạo thủ công một cách độc hại đến các nút riêng lẻ, khiến mỗi nút ngừng hoạt động và cuối cùng khiến mạng bị tấn công 51% và các mối đe dọa nghiêm trọng khác. và các rủi ro khác. Lỗ hổng thứ hai trong dịch vụ RPC có thể cho phép kẻ tấn công đánh sập một nút thông qua các yêu cầu RPC. Tuy nhiên, việc khai thác thành công yêu cầu thông tin đăng nhập hợp lệ, điều này làm giảm khả năng toàn bộ mạng gặp rủi ro khi một số nút thực thi lệnh dừng. Lỗ hổng thứ ba cho phép kẻ tấn công thực thi mã trong bối cảnh người dùng đang chạy một nút thông qua RPC. Nhưng cách khai thác này ít có khả năng xảy ra hơn vì nó yêu cầu thông tin đăng nhập hợp lệ để thực hiện cuộc tấn công. Halborn cho biết họ đã phát triển một bộ công cụ khai thác cho Rab13 bao gồm bằng chứng về khái niệm với các tham số có thể định cấu hình để chứng minh các cuộc tấn công trên các mạng khác nhau. Tất cả thông tin kỹ thuật cần thiết đã được chia sẻ với các bên liên quan được xác định để giúp họ sửa lỗi và phát hành các bản vá cần thiết cho cộng đồng và người khai thác. Đối với các dự án sử dụng các nút dựa trên UTXO (chẳng hạn như Dogecoin), nên nâng cấp tất cả các nút lên phiên bản mới nhất (1.14.6). Do mức độ nghiêm trọng của vấn đề, Halborn sẽ không tiết lộ thêm chi tiết kỹ thuật hoặc khai thác vào thời điểm này.