BitGoが初期リリースのETH TSSホットウォレットの脆弱性をパッチ適用

暗号通貨ウォレットサービスプロバイダーであるBitGoは、最近リリースされたEthereumおよびERC-20 Threshold Signature Scheme（TSS）ウォレットで特定された脆弱性のパッチを適用しました。ETH TSSホットウォレットの初期発表は2022年10月31日に行われ、ユーザーにとってガス料金が安くなるという約束がありました。Github上のBitGo開発者は2022年12月9日に更新情報を伝え、第三者による鍵の共有と署名の共有の完全なサポートがサービスにないことを指摘しました。

ブロックチェーンインフラストラクチャ会社のFireblocksは主張しました。彼らは2022年12月にこの脆弱性を特定し、BitGoに通知したと述べています。Fireblocksのプレスリリースによると、この脆弱性により、取引所、銀行、企業、およびプラットフォームのユーザーの秘密鍵が暴露される可能性がありました。

しかし、BitGoはその後、Fireblocksのこれらの主張を否定しました。これはブログ投稿を通じて行われ、独自の開発チームがすでに第三者検証の欠如を特定しており、GitHubのドキュメントで示されているように、それはToDoリストに含まれていたことを強調しました。Cryptopolitanへのメッセージでこの問題を明確にする際、ウォレットサービスプロバイダーは、ユーザーの資金や秘密鍵が脆弱性を通じて侵害または開示されるリスクにさらされることは決してなかったと強調しました。

BitGoがFireblocksの開示を退ける

Cryptopolitanは、脆弱性が発見された当時、BitGoのクライアントはMPCウォレットタイプを暗号通貨資産の保管に積極的に使用していなかったことを理解しています。しかし、BitGoの従業員とコントリビューターを含む20人の開発者が早期アクセスでウォレットにアクセス可能であり、BitGoのコアウォレットコードがオープンソースであるため、Fireblocksのエンジニアはテストを実施できました。

BitGoは昨年、鍵および署名の共有に対する第三者検証の欠如を以前に開示していましたが、Fireblocksの主張に対する同社の対応は賞賛できるものではありませんでした。ブログ投稿で、BitGoはFireblocksを「競合他社」と呼び、既知のギャップを「PRスタント」に変えようとしていると表現しました。

Fireblocksは、この脆弱性により、攻撃者が少量のJavaScriptコードを使用して秘密鍵を迅速に抽出できる可能性があると主張しました。同社は、メインネット上の無料BitGoアカウントを使用してこのエクスプロイトを特定し、BitGoのECDSA TSSウォレットプロトコルにおける必須のゼロ知識証明の欠落部分が、チームが単純な攻撃を通じて秘密鍵を暴露することを可能にしたことを明らかにしました。

BitGoはこれらの主張を反駁し、2022年12月10日に脆弱なサービスを停止し、2023年2月にクライアントが3月17日までに最新バージョンへの更新を必要とするパッチをリリースしたと述べました。彼らは、影響を受けたのは早期アクセスウォレットのみであり、現在そのクライアントの誰も使用していないことを明らかにしました。

業界標準のエンタープライズグレードの暗号通貨資産プラットフォームは、単一障害点を排除するために、MPCまたはマルチシグネチャ技術のいずれかを使用しています。これは、1つの当事者が侵害された場合にセキュリティ制御を確保するために、秘密鍵を複数の当事者間で分散させることによって行われます。

暗号通貨業界は多くのハッキング被害に見舞われてきました。Cryptopolitanは最近、多額の資金損失をもたらしたEuler Financeのハッキングを暴露しました。2022年8月、Solanaブロックチェーン上の7,000以上のウォレットから800万ドル以上が盗まれたことが報告されました。一方、Algorandネットワーク上のMyAlgoウォレットサービスの別のハッキングでは、多くの有名なウォレットから900万ドル以上が吸い上げられました。