Baint le bhuláine i CryptoJS, is féidir síd an leasacháin a thuar… damáiste de 5,690,000 dollar

D’fhógair an comhlacht slándeartha Coinspect, a shpecialtann i slándear na blockchain, go n-úsáideann cúig app ar a laghad de son maoin criptografach gineadóir uimhri aléatóireacha leochaileach ón leabharlanna CryptoJS, agus go ndearna sé sin chun frásaí athshaoirseacha (frásaí síolta) a chruthú. Mar thoradh air sin, rinne ionsaitheoirí é féin a chur in iúl agus thug siad os cionn 5.69 milliún dollar. Is an líon íslithe, agus níl sé bunaithe ach ar na gcásanna a rinneadh iad a rianú, agus is féidir gur níos mó fós an damáiste a rinneadh. B'iad na leigheasanna seo a leagtar amach sa phreabhadh: "Is é an bhaintúlacht atá ag tagadh amach ná go bhfuarthas an loighinnt seo le linn iarracht feabhas a chur ar an bhfeidhmeáil den fheidhmeannaí WordArray.random() sa leabharlanna CryptoJS, agus é sin tríd an gcúntóir ff1f003. Go teoirideach, ba cheart go mbeifeá ar chinn na cumhachta 128 nó 256, ach thug an cur chuig seo a rinneadh an spás iomlán de chomhthionas a d'fhéadfadh a bheith ann, a bhí teorann go dtí thart ar chinn na cumhachta 39 nó 47. Leis an méid sin, is féidir le tógailí an chomhthionas a fháil, an seoladh blockchain a fháil, agus an chothrom a chinneadh.". Tharla an t-ionsaí i roinnt culaith, cosúil le tonnta. De réir Coinspect, rinneadh damáiste thart ar 3.14 milliún dollar ar an 27ú lá d'Aibreán, agus thart ar 2.55 milliún dollar idir an 30ú lá d'Aibreán agus an 13ú lá d'Iúil. Ina theannta sin, rinneadh damáiste thart ar 40,000 dollar sa chóras Síneach. Bhí níos le 2,000 sínead á n-scrúin, agus bhí siad bunaithe ar cúig líonra: Bitcoin, Ethereum, Tron, Rootstock, agus Polygon. RRWallet, Bexo Wallet, NanChat, Bitcoin Libre, agus Milo, is iad na cúig aipe a fuair tionchar, agus tá an t-ardán RRWallet agus Milo cealaithe cheana. Sa leagan 20.1.0, leasú ar an gcúrsa ginideach atá faoi cheannas, rinne Bexo an leasú seo, agus rinne NanChat é sa leagan 1.3.0, agus rinne Bitcoin Libre é sa leagan 4. Do chláraitheoirí NanChat a chruthaigh portmónaí roimh an leagan 1.3.0, thug an comhlacht fógra ar leith chun iad a chur in iardhéimeanna go ndearnadh an portmónaí a scaoileadh agus chun portmónaí nua a chruthú le frása athshaoirse nua. Is é an táscaire is tábhachtaí ná go nár féidir leas a bhaint as frásaí athshaoirseacha a chruthaíodh ar bhealach leocha, trí nuashonrú ar an app, nó trí an frása céanna a thabhairt chuig portmhaireachtí bogearraí nó crua-earraí eile. Tá an leocha bunaithe ar leasainm an bhogearraí nuair a cuireadh an frása ar dtús, ní ar an app féin. D'fhoilsigh Coinspect uirlis "Unlukey" a ligeann do úsáideoirí seiceáil an bhfuil a seoladh san áireamh i sraith sonraí damasacha, agus chuighneodh sé go bhfuil an t-únróc amháin atá ann ná frása athshaoirseacha nua a chruthú go sábháilte agus an t-airgead a aistriú, i gcásanna ina bhfuil damáiste deimhnithe.