Blockchain Litecoin a Zcash obsahuje zranitelnost Rab13s

V březnu 2022 si Dogecoin najal společnost Halborn na audit bezpečnosti blockchainu. Během této kontroly nalezli některé kritické a zneužitelné zranitelnosti. Vývojáři Dogecoinu je ihned opravili. Halborn se ale stejnou metrikou podíval i na další blockchainy a zjistil, že stejné zranitelnosti postihují i více než 280 dalších sítí včetně Litecoin a Zcash. Ohrožení se tak týká více než 25 miliard USD v digitálních aktivech.

Nejzávažnější chyba souvisí s komunikací peer-to-peer (p2p), kdy útočníci mohou vytvářet konsensuální zprávy a odesílat je jednotlivým uzlům. Tímto způsobem tak mohou dosáhnout jejich odpojení ze sítě. Útočníci mohu pomocí getaddr procházet síť a napadat neopravené uzly. Tato chyba nese označení Rab13s.

Blockchainy obsahují další zero-day zranitelnosti

Dále společnost objevila několik zero-day zranitelností, které sice nejsou jednoduše zneužitelné ve všech sítí (kvůli rozdílům v kódové základně), ale i tak jsou v množství sítí využitelné (včetně Litecoin a Zcash). Minimálně jedna funguje plošně na všech postižených sítích a může vést k odmítnutí služby nebo dokonce ke vzdálenému spuštění kódu.

Závěr

Vývojáři sice kontaktovali tvůrce jednotlivých blockchainů, ale kdy (a zda) dojde k jejich opravě je otázka. Největší problém vidím v chybě Rab13s, která díky své jednoduchosti zvyšuje pravděpodobnost útoku. Útok primárně odstaví poškozený uzel. To může napomoci pro 51% útok. Útočník si vytvoří vlastní kopii sítě, kterou upraví podle sebe. Pak díky Rab13s odstaví větší část původního blockchainu, čímž získá snáze většinu. A podle pravidla Proof-of-Work, jestliže existují dvě konkurenční verze blockchainu, tak je přijata ta s nejdelším řetězcem. Lze tak validovat napadený blockchain, jestliže roste rychleji.

Jsme nově také na sociální síti LinkedIn. Máte-li jakýkoli dotaz týkající se kryptoměn, neváhejte se přidat do naší diskuzní skupiny na Facebooku. Nezapomeňte se také připojit na náš oficiální discord server KRYPTOMAGAZIN CZ, kde naleznete další zajímavý obsah. Máme také Youtube kanál, kde můžete dát odběr, aby vám neuteklo žádné video nebo stream. Podporu nám můžete vyjádřit skrze Patreon ZDE.