- Разработчик Web3 из Jump Crypto обнаружил уязвимость в State Guardian Network от Celer.
- Celer устраняет уязвимость и рассматривает возможность расширения программы bug bounty.
Разработчик Web3 Jump Crypto недавно обнаружил критическую уязвимость в сети State Guardian Network (SGN) компании Celer, что потенциально может поставить под угрозу сеть и приложения, зависящие от нее, включая cBridge от Celer. Постмортем-отчет Jump Crypto показал, что уязвимость позволяла злонамеренным валидаторам эксплуатировать ошибку в коде SGN EndBlocker, позволяя им голосовать несколько раз за одно и то же обновление.
Разработчик Web3 публикует свой отчет
Эта ошибка в коде позволяла злоумышленникам усиливать свою голосующую силу, потенциально одобряя вредоносные или недействительные обновления. Celer, блокчейн на базе Cosmos, обеспечивающий межсетевое взаимодействие, опубликовал части кода off-chain SGNv2 на GitHub, что побудило Jump проверить скрипт и конфиденциально уведомить команду протокола Celer об уязвимости. Celer оперативно устранила проблему, исправив ее до того, как произошло какое-либо злонамеренное использование.
Уязвимость предоставляла злонамеренным валидаторам ряд возможностей, включая возможность манипулировать событиями в блокчейне, такими как переводы мостов, эмиссия сообщений, стейкинг и делегирование в основном контракте SGN Celer. Хотя Celer внедрила механизмы защиты для предотвращения полного кражи средств моста, отчет разработчика Web3 выделил три конкретных защитных механизма. Они включали задержку перевода, активируемую контрактом моста для переводов, превышающих определенную стоимость, механизм контроля объема, ограничивающий извлечение токенов за короткий период, и аварийную остановку контрактов в ответ на события недостаточного обеспечения, вызванные злонамеренными переводами.
Однако, несмотря на эти меры безопасности, в отчете подчеркивалось, что протокол не был полностью защищен. Лимиты транзакций применяются к каждой сети и токену отдельно, что означает, что злоумышленник потенциально может вывести токены на сумму около 30 миллионов долларов до остановки контрактов. Эта сумма составляет около 23% от текущей общей заблокированной стоимости (TVL) Celer.
Celer решает проблему и расширяет свою программу вознаграждения за ошибки
Отчет разработчика Web3 дополнительно подчеркнул, что, хотя встроенные механизмы Celer могут защитить контракты ее моста, децентрализованные приложения (dApps), построенные поверх межсетевой коммуникации Celer, по умолчанию останутся уязвимыми к этим типам уязвимостей.
У Celer есть программа вознаграждения за ошибки, предлагающая вознаграждение в размере 2 миллионов долларов за уязвимости в ее мосте. Однако она не покрывает ошибки off-chain, такие как обнаруженная в сети SGNv2. Jump Crypto ведет переговоры с Celer о добавлении сети SGNv2 в свою программу вознаграждения за ошибки, и потенциальное вознаграждение за отчет Jump в настоящее время оценивается командой Celer.
Выявление и быстрое устранение этой уязвимости подчеркивают важность строгих мер безопасности и программ вознаграждения за ошибки (bug bounty) в индустрии блокчейна. Решая эти проблемы своевременно, сети, такие как Celer, могут повысить свою устойчивость и защитить активы пользователей в меняющемся ландшафте Web3.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Овотунсе Адебайо
Адебайо — писатель с четырёхлетним опытом работы в сфере криптовалют. Он окончил Университет Лагоса, где изучал городское и региональное планирование. Адебайо работал в Tokenhell и CryptoTicker, освещая новости криптовалют и финтеха. В настоящее время он является новостным автором в Cryptopolitan.
