BitGo تصلح ثغرة في محافظ ETH TSS الساخنة للإصدار المبكر

قامت BitGo، وهي مزود خدمة محافظ العملات المشفرة، بإصلاح ثغرة تم تحديدها في محافظ Threshold Signature Scheme (TSS) الخاصة بـ Ethereum وERC-20 التي أصدرتها مؤخراً. تم الإعلان الأولي عن محافظ ETH TSS الساخنة في 31 أكتوبر 2022، مع وعد بتخفيض رسوم الغاز للمستخدمين. نقل مطورو BitGo على Github تحديثاً في 9 ديسمبر 2022، مشيرين إلى أن الخدمة لم تكن تدعم بالكامل التحقق من الأطراف الثالثة لحصص المفاتيح وحصص التوقيعات.

ادّعت شركة البنية التحتية للبلوكشين Fireblocks أنها حددت وأبلغت BitGo عن الثغرة في ديسمبر 2022. قالت بيان صحفي من Fireblocks إن الثغرة كان من الممكن أن تعرض المفاتيح الخاصة للمنصات والمصارف والشركات ومستخدمي المنصة للخطر.

ومع ذلك، نفى BitGo منذ ذلك الحين هذه الادعاءات من قبل Fireblocks عبر مقال، مشيراً إلى أن فريق المطورين الخاص به كان قد حدد بالفعل نقص التحقق من الأطراف الثالثة، وكان ذلك مدرجاً في قائمة المهام كما هو موضح في وثائق GitHub. في رسالة إلى Cryptopolitan لتوضيح القضية، شدد مزود خدمة المحافظ على أن أموال المستخدمين أو المفاتيح الخاصة لم تكن أبداً في خطر التعرض للاختراق أو الإفشاء من خلال الثغرة.

BitGo تتجاهل إفصاح Fireblock

يفهم Cryptopolitan أن عملاء BitGo لم يكونوا يستخدمون بنشاط نوع محفظة MPC لتخزين أصول العملات المشفرة في الوقت الذي تم اكتشاف الثغرة فيه. ومع ذلك، كان لدى 20 مطوراً، بمن فيهم موظفو BitGo والمساهمون، إمكانية الوصول إلى المحفظة في مرحلة الوصول المبكر، وتمكن مهندسو Fireblocks من إجراء الاختبارات بسبب الطبيعة مفتوحة المصدر لكود المحفظة الأساسية لـ BitGo.

كانت BitGo قد كشفت سابقاً عن نقص في التحقق من قبل طرف ثالث لحصص المفاتيح والتوقيعات العام الماضي، لكن رد الشركة على ادعاءات Fireblocks كان أقل من الإيجابي. في المنشور المدون، أشارت BitGo إلى Fireblocks على أنها "منافسة" تحاول تحويل "فجوة معروفة إلى عرض دعائي".

زعمت Fireblocks أن الثغرة ستسمح للمهاجمين المحتملين باستخراج المفتاح الخاص بسرعة باستخدام كمية صغيرة من كود JavaScript. وقالت الشركة إنها حددت الاستغلال باستخدام حساب BitGo المجاني على الشبكة الرئيسية وكشفت أن جزءاً مفقوداً من إثباتات المعرفة الصفرية الإلزامية في بروتوكول ECDSA TSS الخاص بمحفظة BitGo سمح للفريق بكشف المفتاح الخاص من خلال هجوم بسيط.

دحضت BitGo هذه الادعاءات قائلة إنها علقت الخدمة المعرضة للخطر في 10 ديسمبر 2022، وأصدرت تصحيحاً في فبراير 2023 تطلب تحديثات من جانب العميل إلى أحدث إصدار بحلول 17 مارس. وكشفت أن المحفظة ذات الوصول المبكر فقط هي المتأثرة - والتي لا يستخدمها أي من عملائها حالياً.

تستخدم منصات أصول العملات المشفرة المؤسسية المعيارية في الصناعة إما تقنية MPC أو التوقيع المتعدد لإزالة إمكانية نقطة هجوم واحدة. يتم ذلك عن طريق توزيع المفتاح الخاص بين أطراف متعددة لضمان ضوابط الأمان في حالة اختراق أحد الأطراف.

واجهت صناعة العملات المشفرة العديد من الاختراقات. وكشف موقع Cryptopolitan مؤخراً عن اختراق Euler Finance الذي أدى إلى فقدان أموال طائلة. في أغسطس 2022، تم سرقة أكثر من 8 ملايين دولار من أكثر من 7000 محفظة على شبكة Solana. وفي الوقت نفسه، شهد اختراق منفصل لخدمة محفظة MyAlgo على شبكة Algorاند سحب أكثر من 9 ملايين دولار من محافظ مشهورة عديدة.