Dhimbja e kriptove: Vlefshmëria e portofolëve të kompromiseuar nga një dobësi në CryptoJS... Dëmet arrijnë 5.69 milionë dollarë

Kompania Coinspect, e specializuar në sigurinë e blockchain, ka bërë publike se të paktën 5 aplikacione të portofoleve kripto kanë përdorur një generator të dobët të numrave të rastësishëm nga biblioteka CryptoJS për të krijuar frazat e shërimit (seed phrases), duke i mundësuar sulmuesve të gjejnë këto faza dhe të vjedhin të paktën 5.69 milionë dollarë. Ky shifër përfaqëton një vlerë minimale, duke u bazuar vetëm në rastet e identifikuar, ndërsa dëmët realë mund të jenë më të lartë. Vulnerabiliteti në fjalë është introduktuar përmes commit-it ff1f003, gjatë një tentative për të përmirësuar funksionin WordArray.random() të bibliotekës CryptoJS në qershor 2014. Kjo implementim ka reduktuar në mënyrë drastike hapësirën e mundshme të kombinacioneve që duhet të ekzistojnë (theorikisht, 2^128 ose 2^256) në një nivel prej rreth 2^39 deri në 2^47. Me një shkallë të tillë, bëhet realisht e mundur që një sulmues të listojë të gjitha kombinacionet e mundshme, të zbulojë adresat e blockchain dhe më pas të verifikojë balancën. Sulmet janë kryer në valë të ndryshme. Sipas Coinspect, më 27 maj u humbën rreth 3.14 milionë dollarë, ndërsa nga 30 maj deri më 13 korrik u humbën rreth 2.55 milionë dollarë. Gjithashtu, nga 20 deri më 21 korrik, u humbën rreth 40,000 dollarë nga një nën-kumpulan i adresave në gjuhën kineze. Analiza u krye për më shumë se 2,000 çeljes private që përfshinin 5 rrjete: Bitcoin, Ethereum, Tron, Rootstock dhe Polygon. Aplikacionet të prekura janë pesë: RRWallet, Bexo Wallet, NanChat, Bitcoin Libre dhe Milo, ndërsa RRWallet dhe Milo tashmë janë mbyllur. Bexo ka korrigjuar rrugën e generimit të numrave të rastësishëm problematike në versionin 20.1.0, NanChat në versionin 1.3.0 dhe Bitcoin Libre në versionin 4. NanChat ka njoftuar posaçirisht përdoruesit që kanë krijuar portofole para versionit 1.3.0, duke i kërkuar të konsiderojnë portofolin e tyre si të dëmtuar dhe të migrojnë në një frazë e re e shërimit. Pika kryesore është se frazat e shërimit të kriera në mënyrë të dobët nuk mund të zgjidhen thjesht duke përditësuar aplikacionin ose duke importuar të njëjtën frazë në një portofol të tjerrë, qoftë softuerik ose fizik. Kjo sepse vulnerabiliteti nuk varet nga aplikacioni, por nga versioni i softuerit në momentin kur fraza e shërimit u krijua. Coinspect ka publikuar një mjet të quajtur "Unlukey" që lejon përdoruesve të verifikojnë nëse adresa e tyre është përfshirë në një bazë të të dhënave të kompromiseuara. Ata theksuan se, nëse dëmtimi konfirmohet, zgjidhja e vetme është të gjenerohet një frazë e re shërimi në mënyrë të sigurt dhe të transferohen fondet.