SlowMist identifica falha de segurança que poderia expor chaves privadas

A empresa de segurança blockchain SlowMist identificou uma vulnerabilidade em uma biblioteca criptográfica JavaScript amplamente utilizada que poderia expor as chaves privadas dos usuários aos atacantes.

A falha de segurança afeta a popular biblioteca “elliptic”, que fornece funções de criptografia de curva elíptica para várias carteiras de criptomoedas, sistemas de identidade e aplicações Web3.

De acordo com a análise da SlowMist, a vulnerabilidade decorre do tratamento defeituoso de entradas não padrão durante as operações de assinatura. Esse fluxo pode levar à repetição de números aleatórios nas assinaturas ECDSA. Como a segurança dessas assinaturas depende inteiramente da unicidade desses valores aleatórios, qualquer repetição permite que os atacantes derivem matematicamente a chave privada.

Vulnerabilidade permite extração de chave privada com interação mínima

A razão para a falha está na forma como a biblioteca elliptic gera o que os criptógrafos chamam de “valor k”. Este é um número aleatório que nunca deve ser reutilizado em assinaturas diferentes. A análise da SlowMist revela que os atacantes podem criar entradas específicas que enganam a biblioteca, fazendo-a reutilizar esse valor. “Ao gerar k, a chave privada e a mensagem são usadas como sementes para garantir a unicidade sob diferentes entradas”, explica o relatório da SlowMist.

Essa falha cria um vetor de ataque perigoso porque requer interação mínima com as vítimas. Um atacante só precisa observar uma assinatura legítima e depois enganar o alvo para assinar uma mensagem especialmente elaborada. Ao comparar essas duas assinaturas, o atacante pode derivar matematicamente a chave privada da vítima usando uma fórmula relativamente simples.

A adoção generalizada coloca inúmeras aplicações Web3 em risco

O uso da biblioteca elliptic pela comunidade JavaScript torna o impacto potencial da vulnerabilidade ainda maior. A SlowMist indica que a vulnerabilidade está presente em todas as versões até a 6.6.0 e afeta aplicações que usam várias curvas elípticas.

Qualquer aplicação que execute assinaturas ECDSA em entradas fornecidas externamente está em risco. Isso pode incluir carteiras de criptomoedas, aplicativos de finanças descentralizadas (DeFi), plataformas de NFT e aplicativos de autenticação de identidade baseados em Web3.

O uso da biblioteca no espaço de moedas digitais vem com uma superfície de ataque. Se a chave privada for comprometida, os atacantes terão controle total sobre os ativos correspondentes. Os hackers podem realizar transferências não autorizadas, alterar registros de propriedade ou se passar por usuários em aplicativos descentralizados.

A SlowMist também publicou algumas sugestões de emergência para que usuários e desenvolvedores mitiguem a ameaça à segurança. Os desenvolvedores devem, em primeiro lugar, atualizar a biblioteca elliptic para a versão 6.6.1 ou superior, já que a vulnerabilidade foi oficialmente corrigida na versão mais recente.

Além de atualizar a biblioteca, a SlowMist recomenda que os desenvolvedores incluam outras precauções de segurança em seus aplicativos. Para os usuários de aplicativos afetados, a maior preocupação é se suas chaves privadas já podem estar em risco. A SlowMist recomenda que os usuários que possivelmente assinaram mensagens maliciosas ou desconhecidas tomem a precaução de substituir suas chaves privadas.

Ataques de phishing diminuem enquanto vulnerabilidades técnicas ganham destaque

Embora a descoberta da SlowMist indique ameaças de vulnerabilidades técnicas, dados do Scam Sniffer indicam que os ataques de phishing convencionais caíram por três meses consecutivos. Em fevereiro de 2025, 7.442 vítimas perderam US$ 5,32 milhões. Isso representa uma queda de 48% em relação aos US$ 10,25 milhões de janeiro e uma queda de 77% em relação aos US$ 23,58 milhões de dezembro.

🧵 [1/4] 🚨 Relatório de Phishing de Fevereiro do ScamSniffer 2025

Perdas de fevereiro: US$ 5.32M | 7,442 vítimas
Perdas de janeiro: US$ 10.25M | 9,220 vítimas
(-48% m/m) pic.twitter.com/HsZZSlYKJC

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 5 de março de 2025

Embora essa tendência de queda seja evidente, vários vetores de ataque ainda são extremamente poderosos. Ataques de permissão de alocação, em que hackers criam endereços de carteira visualmente indistinguíveis dos legítimos, resultaram na maior perda única de US$ 771.000 em ETH.

Os ataques baseados em permissão ficaram logo atrás, com US$ 611.000 em perdas, seguidos por aprovações de phishing não revogadas na BSC, valendo US$ 610.000 em fundos desviados. As explorações IncreaseApproval completaram os principais vetores de ataque, com perdas de US$ 326.000 em ETH.