Researchers identify key circuit layer vulnerabilities in SNARK systems

Cointelegraph · 2024-08-08T20:40:20.000Z

According to researchers at Imperial College London, vulnerabilities at the circuit layer pose the most significant threat to systems based on Succinct Non-Interactive Arguments of Knowledge, or SNARKs. The investigation examined 141 vulnerabilities from 107 audit reports, 16 vulnerability disclosures, and various bug trackers associated with popular SNARK projects. The findings were presented on Aug. 7 at the Science of Blockchain Conference held at Columbia University. SNARKs are a type of zero-knowledge (ZK) proof that allows one to demonstrate that a statement is true without revealing any information about the statement. According to Stefanos Chaliasos, a PhD candidate at Imperial College London, the research team identified three main types of vulnerabilities in circuit layers — under-constrained, over-constrained and computational/hints error: “The majority of vulnerabilities are in the circuit layer, and the majority is also soundness response, which is the worst part that can happen when you use Zkps because basically, in the context of a ZK-rollup, if there is such a bug and someone wants to exploit it, then all the funds could be drained from the circuit layer.” The most frequent vulnerability found on zero knowledge circuits arises from insufficient constraints, which cause a verifier to accept invalid proofs, compromising a system’s soundness or completeness. Per the research, 95 of the identified issues on SNARK-based systems affected soundness and four affected completeness. “The primary challenge for developers lies in adapting to a different level of abstraction and optimizing circuits for efficiency, which directly impacts the cost of using SNARKs,” notes the paper. Root causes for vulnerabilities on ZK circuits include distinguishing between assignments and constraints, missing input constraints, and unsafe reuse of circuits, among others. Source: SoK: What Don’t We Know? Understanding Security Vulnerabilities in SNARKs Weighted VRFs The first day of the conference also featured the Aptos team presenting their recently implemented weighted verifiable random functions, or weighted VRFs — a mechanism designed to enhance the randomness in the consensus process. The approach extends the concept of VRFs by incorporating weights into the random selection process of verifying inputs and outputs onchain. With weights, participants in the consensus mechanism have different probabilities of being chosen based on their stake (weights). Aptos deployed the mechanism on its mainnet in June. “As far as you can tell, this is the first time you see a previously granular script that is unbiaseable, unpredictable, and operates as fast as the network,” noted Alin Tomescu, head of cryptography at Aptos. According to Tomescu, Aptos has processed half a million calls through the new randomness API, with the distributed key generation (DKG) lasting about 20 seconds. “Our randomness latency, which is the latency measured from the time a block is committed to the time the randomness for that block is available, was initially 160 milliseconds. But we were able to bring this down to 25 milliseconds using some optimizations.”

Podle výzkumníků z Imperial College London představují zranitelnosti na vrstvě okruhů nejvýznamnější hrozbu pro systémy založené na Succinct Non-Interactive Arguments of Knowledge neboli SNARK. 
Vyšetřování zkoumalo 141 zranitelností ze 107 auditních zpráv, 16 odhalených zranitelností a různé bug trackery spojené s oblíbenými projekty SNARK. Zjištění byla prezentována 7. srpna na konferenci Science of Blockchain konané na Kolumbijské univerzitě.
SNARKy jsou typem důkazu s nulovými znalostmi (ZK), který umožňuje prokázat, že tvrzení je pravdivé, aniž by o něm byly odhaleny jakékoli informace.
Podle Stefanose Chaliasose, kandidáta na doktorandské studium na Imperial College London, výzkumný tým identifikoval tři hlavní typy zranitelnosti ve vrstvách okruhů – nedostatečně omezené, příliš omezené a chyby ve výpočtu/nápovědách:
„Většina zranitelností je ve vrstvě okruhů a většinu tvoří také zvuková odezva, což je nejhorší část, která se může stát, když používáte Zkps, protože v zásadě v kontextu souhrnu ZK, pokud existuje taková chyba a někdo to chce využít, pak by mohly být z obvodové vrstvy vyčerpány všechny prostředky."
Nejčastější zranitelnost zjištěná na okruzích s nulovými znalostmi pochází z nedostatečných omezení, která způsobují, že ověřovatel přijímá neplatné důkazy, což ohrožuje spolehlivost nebo úplnost systému. Podle výzkumu 95 z identifikovaných problémů na systémech založených na SNARK ovlivnilo spolehlivost a čtyři ovlivnily úplnost.
„Primární výzva pro vývojáře spočívá v přizpůsobení se jiné úrovni abstrakce a optimalizaci okruhů pro efektivitu, což přímo ovlivňuje náklady na používání SNARKů,“ poznamenává list.
Mezi hlavní příčiny zranitelnosti obvodů ZK patří mimo jiné rozlišování mezi přiřazením a omezením, chybějící vstupní omezení a nebezpečné opětovné použití obvodů.
Vážené VRF
První den konference také představoval tým Aptos, který představil své nedávno implementované vážené ověřitelné náhodné funkce neboli vážené VRF – mechanismus určený ke zvýšení náhodnosti v procesu konsensu.
Tento přístup rozšiřuje koncept VRF začleněním vah do procesu náhodného výběru ověřování vstupů a výstupů v řetězci. S váhami mají účastníci mechanismu konsenzu různé pravděpodobnosti, že budou vybráni na základě jejich podílu (váh).
Aptos nasadil mechanismus na svůj mainnet v červnu. "Pokud můžete říct, je to poprvé, co vidíte dříve zrnitý skript, který je nezaujatý, nepředvídatelný a funguje stejně rychle jako síť," poznamenal Alin Tomescu, vedoucí kryptografie ve společnosti Aptos.
Podle Tomescu zpracoval Aptos přes nové API náhodnosti půl milionu hovorů, přičemž generování distribuovaného klíče (DKG) trvá asi 20 sekund.
„Naše latence náhodnosti, což je latence měřená od okamžiku, kdy je blok potvrzen, do doby, kdy je náhodnost pro tento blok k dispozici, byla zpočátku 160 milisekund. Ale pomocí některých optimalizací jsme to dokázali snížit na 25 milisekund.“

Prozkoumat více od tvůrce

Nejnovější zprávy