BitGo patcha la vulnerabilità nei portafogli caldi ETH TSS rilasciati in anticipo

BitGo, un fornitore di servizi di portafoglio per criptovalute, ha patchato una vulnerabilità identificata nei suoi recentemente rilasciati portafogli Ethereum ed ERC-20 Threshold Signature Scheme (TSS). Un inizialeannuncio dei portafogli caldi ETH TSS è stato fatto il 31 ottobre 2022, con la promessa di commissioni gas più basse per gli utenti. Gli sviluppatori di BitGo su Github hanno fornito un aggiornamento il 9 dicembre 2022, notando che il servizio non aveva un supporto completo per la verifica di terze parti delle condivisioni di chiavi e delle condivisioni di firme.

L'azienda di infrastrutture blockchain Fireblocks ha affermato di aver identificato e notificato a BitGo la vulnerabilità nel dicembre 2022. Il comunicato stampa di Fireblocks ha dichiarato che la vulnerabilità avrebbe potuto esporre le chiavi private di exchange, banche, aziende e utenti della piattaforma.

Tuttavia, BitGo ha successivamentenegato queste affermazioni di Fireblocks tramite un post sul blog, sottolineando che il proprio team di sviluppatori aveva già identificato la mancanza di verifica di terze parti, e che era nella lista delle cose da fare come indicato nella documentazione di GitHub. In un messaggio a Cryptopolitan per chiarire la questione, il fornitore di servizi di portafoglio ha sottolineato che i fondi degli utenti o le chiavi private non sono mai stati a rischio di essere compromessi o divulgati a causa della vulnerabilità.

BitGo respinge la divulgazione di Fireblock

Cryptopolitan comprende che i clienti di BitGo non stavano utilizzando attivamente il tipo di portafoglio MPC per memorizzare le attività di criptovaluta al momento in cui è stata scoperta la vulnerabilità. Tuttavia, 20 sviluppatori, inclusi dipendenti e collaboratori di BitGo, avevano accesso al portafoglio in fase di accesso anticipato, e gli ingegneri di Fireblocks sono stati in grado di effettuare test a causa della natura open-source del codice del portafoglio principale di BitGo.

BitGo aveva precedentemente divulgato la mancanza di verifica di terze parti delle condivisioni di chiavi e firme lo scorso anno, ma la risposta dell'azienda alle affermazioni di Fireblocks è stata meno che lusinghiera. Nel post sul blog, BitGo ha definito Fireblocks un "competitore" che cerca di trasformare un "gap noto in uno spettacolo pubblicitario".

Fireblocks ha affermato che la vulnerabilità avrebbe consentito agli eventuali attaccanti di estrarre rapidamente una chiave privata utilizzando una piccola quantità di codice JavaScript. L'azienda ha dichiarato di aver identificato l'exploit utilizzando un account BitGo gratuito su mainnet e ha rivelato che una parte mancante delle prove a conoscenza zero obbligatorie nel protocollo ECDSA TSS wallet di BitGo ha permesso al team di esporre la chiave privata attraverso un attacco semplice.

BitGo ha confutato queste affermazioni, dichiarando di aver sospeso il servizio vulnerabile il 10 dicembre 2022 e di aver rilasciato una patch nel febbraio 2023 che richiedeva aggiornamenti lato client all'ultima versione entro il 17 marzo. Hanno rivelato che solo il wallet in accesso anticipato era interessato, il quale non è attualmente utilizzato da nessuno dei loro clienti.

Le piattaforme enterprise di asset crittografici standard del settore utilizzano la tecnologia MPC o multi-firma per eliminare la possibilità di un singolo punto di attacco. Questo viene fatto distribuendo una chiave privata tra più parti per garantire i controlli di sicurezza nel caso in cui una parte venga compromessa.

L'industria delle criptovalute è stata affrontata con molti hack. Cryptopolitan ha recentemente rivelato l'attacco a Euler Finance che ha comportato la perdita di ingenti fondi. Nell'agosto 2022, oltre 8 milioni di dollari sono stati rubati da oltre 7.000 portafogli sulla blockchain Solana. Nel frattempo, un attacco separato al servizio di portafoglio MyAlgo sulla rete Algorand ha visto più di 9 milioni di dollari essere sottratti da numerosi portafogli ben noti.