CryptoJS zəifliyi səbəbindən e-cüzdanın açar sözünün təxmin edilməsi mümkündür... 5,69 milyon dollar zərər

Blokçeyn güvenliği alanında faaliyet gösteren Coinspect adlı şirket, kriptovalu bağçası uygulamalarının en az 5 tanesinin, CryptoJS kütüphanesinin zayıf rastgele sayı üretecisini kullanarak kurtarma kodlarını (seed kodlarını) oluşturduğunu ve bunun sonucunda saldırganların bu kodları takip ederek en az 5,69 milyon dolar değerinde kriptovalu çaldığını duyurdu. Bu rakam, tespit edilen vakalara ilişkin bir alt sınırdır ve gerçek zarar daha yüksek olabilir. Problemin zəifliyi, 2014-cü ilin iyun ayında CryptoJS kitabxanasının WordArray.random() funksiyasını yaxşılaşdırmaq cəhdləri zamanı, ff1f003 commit vasitəsilə daxil edilmişdir. Bu implementasiya nəzəri olaraq 2-nin 128-ci və ya 256-cı gücünə çatması lazım olan mümkün bərpa mətnləri üçün axtarış sahəsini, təxminən 2-nin 39-cu və ya 47-ci gücünə qədər ciddi şəkildə kiçiltmişdir. Bu miqyasda, hücum edən tərəf potensial mətnləri siyahıya ala, blokzincir ünvanlarını təyin edə və balanslarını yoxlaya bilər. Saldırılar, defalarca dalgalar halinde gerçekleşti. Coinspect'e göre, 27 may tarixində yaklaşık 3,14 milyon dolar, 30 mayıs'tan 13 iyul'a kadar yaklaşık 2,55 milyon dolar ve 20-21 iyul tarihlerinde ise Çince kullanılan kripto para cüzdanlarından yaklaşık 40.000 dolar daha sızdırıldı. Analiz edilen 2.000'den fazla cüzdan, Bitcoin, Ethereum, Tron, Rootstock və Polygon olmak üzere beş farklı ağa aitti. Etkilənən tətbiqlər RRWallet, Bexo Wallet, NanChat, Bitcoin Libre və Milo adlı beş tətbiqdir. RRWallet və Milo artıq fəaliyyətini dayandırıb. Bexo 20.1.0 versiyasında, NanChat 1.3.0 versiyasında və Bitcoin Libre 4 nömrəli versiyasında, müvafiq olaraq, problemlərə səbəb olan təsadüfi say generatoru yolunu düzəldiblər. NanChat, 1.3.0 versiyasından əvvəl cüzdan yaradan istifadəçilərə, həmin cüzdanı zədələnmiş hesab edərək, yeni yaradılmış bərpa kodunu istifadə etmələri barədə ayrıca məlumat verib. Əsas diqqətəlnədirici məqam odur ki, zəif şəkildə yaradılmış bərpa mətnləri, tətbiqi yeniləmək və ya eyni mətnləri digər proqram və ya donanım qablarına daşımaqla həll edilə bilməz. Çünki, zəiflik tətbiqdə deyil, məzmunun ilk yaradıldığı proqram versiyasında mövcuddur. Coinspect, istifadəçilərin özlərinə məlum olan zərər görmüş məlumat bazasında özlərinə aid ünvanın olub olmadığını yoxlamaq üçün "Unlukey" adlı bir alət təqdim edib və zərər hər hansı bir şəkildə təsdiqlənərsə, yeni bir bərpa mətninin təhlükəsiz şəkildə yaradılması və vəsaitlərin köçürülməsi yeganə həll yoludur.