CryptoJSren ahuleziaren ondorioz, diru-zorroen gakoak aurreikusi daitezke... 569.000 dolarreko kalteak

Blockchain segurtasun enpresa bat den Coinspect-ek jakinarazi duenez, gutxienez bost kriptomoneta zorro aplikazik CryptoJS liburutegiaren erabilgarritasun txikiko zenbaki aleatorioak sortzeko funtzioa erabiltzen zuten, eta horrek eragile batek zorroen beraren gakoak deszifratzeko aukera ematen zuen, gutxienez 5,69 milioi dolarreko kaltea eragin dezakeen. Zenbateko hori kasu ezagunekin mugatuta dago, eta errealitatea beste bat izan daiteke. Arazoaren ahuldadea 2014ko ekainean CryptoJS liburutegiko WordArray.random() funtzioa hobetzeko egindako saiakuntzaren parte gisa sartu zen, ff1f003 commitaren bidez. Implementazio horrek, teorikoki 2^128 edo 2^256 balio izan behar zuen posible den konponbide-aukera guztien multzoa, 2^39 eta 2^47 bitarteko baliora murriztu zuen. Hainbesterako murrizketa batekin, erasotzaile batek posible diren konponbide guztiak atera, blockchaineko helbideak lortu eta saldoa egiaztatu ahal izango luke. Errefortsuak, uhin bezala, hainbat alditan gertatu ziren. Coinspect-en arabera, 5eko 27an, 3,14 milioi dolar inguru lapurtu ziren; 5eko 30tik 7eko 13ra bitartean, 2,55 milioi dolar inguru; eta 7ko 20tik 21era bitartean, 40.000 dolar inguru, txinerazko mnemonikoen multzo batean. Analisia egin zuten 2.000 seme-lanean baino gehiagotan, Bitcoin, Ethereum, Tron, Rootstock eta Polygon sareetan zeudenak. RRWallet, Bexo Wallet, NanChat, Bitcoin Libre eta Milo aplikazioak erabat eragin zituen. RRWallet eta Milo jada ez dago jada martxan. Bexo-k 20.1.0 bertsioan, NanChat-ek 1.3.0 bertsioan eta Bitcoin Libre-k 4. bertsioan arazoa zuten aleatorioak sortzeko prozesua zuzendu zuten. NanChat-ek 1.3.0 bertsio aurrekoetan zorroak sortu zituzten erabiltzaileei jakinarazi zien beren zorroak hondatuta daudela eta berri bat sortzea eta berri bat sortzea gomendatu zuten, berri bat sortzeko prozedura jarraituz. Bereziki, garrantzitsu jakiteko, modu ahulean sortutako berreskuratzeko formula bat aplikazioa eguneratuz edo beste software edo hardware zorro batean formula berdin bat sartuz konpondu ezin da. Hori dela eta, arazoa aplikazioan ez, hasiera batean formula hori sortu zeneko softwarearen bertsioan dago. Coinspect-ek "Unlukey" tresna jarri du eskuragarri, erabiltzaileek beren helbideak kalteak jasan dituzten datu-taldeetan dauden ala ez ikusteko. Kalteak baieztatuz gero, berreskuratzeko formula berri bat segurtasunez sortzea eta funtsak transferitzea bakarrik dira irtenbide bakarra, azpimarratu du Coinspect-ek.