BitGo устранил уязвимость в горячих кошельках ETH TSS раннего выпуска

BitGo, провайдер услуг кошельков для криптовалют, устранил уязвимость, выявленную в недавно выпущенных кошельках Ethereum и ERC-20 Threshold Signature Scheme (TSS). Первоначальное объявление о запуске горячих кошельков ETH TSS было сделано 31 октября 2022 года с обещанием более низких комиссий за газ для пользователей. Разработчики BitGo на GitHub сообщили об обновлении 9 декабря 2022 года, отметив, что сервис не имел полной поддержки сторонней проверки долей ключей и долей подписей.

Компания Fireblocks, занимающаяся блокчейн-инфраструктурой, заявила, что они выявили и уведомили BitGo об уязвимости в декабре 2022 года. В пресс-релизе Fireblocks говорилось, что уязвимость могла привести к раскрытию приватных ключей бирж, банков, компаний и пользователей платформы.

Однако BitGo впоследствии опроверг эти заявления Fireblocks через пост в блоге, подчеркнув, что их собственная команда разработчиков уже выявила отсутствие сторонней проверки, и это было в их списке задач, как указано в документации GitHub. В сообщении для Cryptopolitan, разъясняющем ситуацию, провайдер кошельков подчеркнул, что средства пользователей или приватные ключи никогда не находились под риском компрометации или раскрытия через эту уязвимость.

BitGo отвергает раскрытие информации от Fireblocks

Cryptopolitan понимает, что клиенты BitGo не активно использовали тип кошелька MPC для хранения криптовалютных активов на момент обнаружения уязвимости. Однако 20 разработчиков, включая сотрудников и участников BitGo, имели доступ к кошельку в рамках раннего доступа, и инженеры Fireblocks смогли провести тестирование благодаря открытому исходному коду основного кошелька BitGo.

Ранее BitGo сообщал об отсутствии сторонней проверки долей ключей и подписей в прошлом году, но ответ компании на заявления Fireblocks был не совсем лестным. В посте в блоге BitGo назвала Fireblocks «конкурентом», пытающимся превратить «известный пробел в пиар-акцию».

Fireblocks утверждала, что уязвимость позволит потенциальным злоумышленникам быстро извлечь приватный ключ с помощью небольшого количества кода JavaScript. Компания заявила, что выявила эксплойт, используя бесплатный аккаунт BitGo в основной сети (mainnet), и раскрыла, что отсутствующая часть обязательных доказательств с нулевым разглашением (zero-knowledge proofs) в протоколе ECDSA TSS кошелька BitGo позволила команде раскрыть приватный ключ через простую атаку.

BitGo опровергла эти утверждения, заявив, что приостановила работу уязвимого сервиса 10 декабря 2022 года и выпустила патч в феврале 2023 года, требующий обновления клиентской части до последней версии к 17 марта. Они раскрыли, что затронут был только кошельки раннего доступа, которые в настоящее время не используются ни одним из их клиентов.

Платформы для криптовалютных активов корпоративного уровня, соответствующие отраслевым стандартам, используют либо технологию MPC (Multi-Party Computation), либо многосигнатуру, чтобы исключить возможность единой точки атаки. Это достигается путем распределения приватного ключа между несколькими сторонами для обеспечения контроля безопасности в случае компрометации одной из сторон.

Криптоиндустрия сталкивалась со множеством взломов. Недавно Cryptopolitan сообщила о взломе Euler Finance, приведшем к потере крупных средств. В августе 2022 года из более чем 7000 кошельков в блокчейне Solana было украдено более $8 миллионов. Тем временем отдельный взлом сервиса кошелька MyAlgo в сети Algorand привел к выводу более $9 миллионов из множества известных кошельков.