BitGo corrige vulnerabilidade em carteiras hot ETH TSS de versão inicial

A BitGo, um provedor de serviços de carteiras de criptomoedas, corrigiu uma vulnerabilidade identificada em suas recentes carteiras Ethereum e ERC-20 com Esquema de Assinatura de Limiar (TSS). Um anúncio inicial das carteiras quentes ETH TSS foi feito em 31 de outubro de 2022, com a promessa de taxas de gás mais baixas para os usuários. Os desenvolvedores da BitGo no GitHub divulgaram uma atualização em 9 de dezembro de 2022, observando que o serviço não oferecia suporte completo à verificação por terceiros das partes da chave e das assinaturas.

A empresa de infraestrutura blockchain Fireblocks afirmou que havia identificado e notificado a BitGo sobre a vulnerabilidade em dezembro de 2022. O comunicado de imprensa da Fireblocks disse que a vulnerabilidade poderia ter exposto as chaves privadas de exchanges, bancos, empresas e usuários da plataforma.

No entanto, a BitGo desde então negou essas alegações da Fireblocks por meio de um post no blog, destacando que sua própria equipe de desenvolvimento já havia identificado a falta de verificação de terceiros, e isso estava em sua lista de tarefas, conforme indicado na documentação do GitHub. Em uma mensagem ao Cryptopolitan esclarecendo o problema, o provedor de serviços de carteiras enfatizou que os fundos dos usuários ou chaves privadas nunca estiveram em risco de serem comprometidos ou divulgados por meio da vulnerabilidade.

BitGo descarta divulgação da Fireblock

O Cryptopolitan entende que os clientes da BitGo não estavam usando ativamente o tipo de carteira MPC para armazenar ativos de criptomoedas no momento em que a vulnerabilidade foi descoberta. No entanto, 20 desenvolvedores, incluindo funcionários e colaboradores da BitGo, tinham acesso à carteira em acesso antecipado, e os engenheiros da Fireblocks foram capazes de realizar testes devido à natureza de código aberto do código da carteira principal da BitGo.

A BitGo havia divulgado anteriormente a falta de verificação de terceiros de partes de chaves e assinaturas no ano passado, mas a resposta da empresa às alegações da Fireblocks foi menos do que elogiosa. No post no blog, a BitGo se referiu à Fireblocks como uma "concorrente" tentando transformar uma "lacuna conhecida em um golpe de publicidade".

A Fireblocks afirmou que a vulnerabilidade permitiria que potenciais atacantes extraiam rapidamente uma chave privada usando uma pequena quantidade de código JavaScript. A empresa disse que identificou a exploração usando uma conta gratuita da BitGo na mainnet e revelou que uma parte ausente de provas de conhecimento zero obrigatórias no protocolo ECDSA TSS wallet da BitGo permitiu que a equipe expusesse a chave privada por meio de um ataque simples.

A BitGo refutou essas alegações dizendo que suspendeu o serviço vulnerável em 10 de dezembro de 2022 e lançou um patch em fevereiro de 2023 que exigia atualizações do lado do cliente para a versão mais recente até 17 de março. Eles revelaram que apenas a carteira de acesso antecipado foi afetada — a qual nenhum de seus clientes está usando atualmente.

Plataformas de ativos de criptomoedas empresariais padrão da indústria fazem uso de tecnologia MPC ou multi-assinatura para remover a possibilidade de um único ponto de ataque. Isso é feito distribuindo uma chave privada entre várias partes para garantir controles de segurança se uma parte for comprometida.

A indústria de criptomoedas tem enfrentado muitos hacks. O Cryptopolitan recentemente revelou o hack na Euler Finance que resultou na perda de grandes fundos. Em agosto de 2022, mais de $8 milhões foram roubados de mais de 7.000 carteiras na blockchain Solana. Enquanto isso, um hack separado do serviço de carteira MyAlgo na rede Algorand viu mais de $9 milhões sendo desviados de várias carteiras bem conhecidas.