Помилка створювала ризик атаки повторного входу, потенційно дозволяючи неавторизоване карбування токенів у ланцюжках, підключених до IBC.
Жодних коштів не було втрачено завдяки оперативним діям, які запобігли використанню вразливості зловмисниками.
Розробники Cosmos нещодавно усунули серйозну помилку в безпеці свого протоколу Inter-Blockchain Communication (IBC), успішно запобігши потенційній крадіжці приблизно 126 мільйонів доларів. Про цю вразливість у протоколі IBC, яка є невід’ємною частиною функціональності Cosmos для здійснення транзакцій через різні блокчейни, повідомила фірма з безпеки блокчейнів Asymmetric Research.
23 квітня компанія Asymmetric Research оголосила, що конфіденційно повідомила про недолік через програму Cosmos HackerOne Bug Bounty, що призвело до швидкого вирішення проблеми. «Жодного зловмисного використання не було, і жодних коштів не було втрачено», запевнила фірма, вказавши на ефективні запобіжні заходи.
Природа помилки могла призвести до атаки повторного входу, яка включає рекурсивні виклики хакера до функції в смарт-контракті, потенційно дозволяючи їм карбувати необмежену кількість токенів у мережах, пов’язаних через IBC, таких як Osmosis та різні децентралізовані фінансові платформи, що працюють на Космосі.
У Asymmetric Research пояснили, що недолік був присутній в ibc-go, мові програмування високого рівня, яка використовується для впровадження IBC з моменту її створення в 2021 році. Уразливість стала загрозою з появою нового стороннього прикладного програмного забезпечення під назвою IBC middleware.
Це програмне забезпечення розширило можливості IBC, дозволивши передавати токени, що відповідають стандарту міжланцюжкових токенів ICS20, між різними ланцюжками, ненавмисно збільшуючи ризик експлойтів.
«Цей інцидент підкреслює крихку природу припущень про довіру в мережах блокчейнів і потенційні ризики, створені новими функціями», – заявив Asymmetric, наголошуючи на важливості ретельних заходів безпеки та необхідності постійних досліджень міжланцюгової безпеки для захисту взаємопов’язаного середовища блокчейну. .
Використовуючи перехоплення IBC, контрактні виклики CosmWasm можна ініціювати з обробників Acknowledgement і Timeout. Це дозволяє входити в CosmWasm через гаки IBC. Згодом CosmWasm може генерувати підповідомлення для виконання довільних повідомлень Cosmos, створюючи сценарій рекурсивного виклику. Ця вразливість потенційно може призвести до сценарію багаторазових витрат, створюючи значний ризик для безпеки мережі Cosmos.
Процес експлуатації починається з розгортання смарт-контракту, який відповідає IBC-перехоплювачам зворотного виклику для тайм-аутів. Потім токени IBC надсилаються назад до рідного ланцюга з вичерпаним часом очікування. Зловмисні ретранслятори перехоплюють передачу, полегшуючи підготовку та виконання повідомлень для одного виклику CosmWasm execute().
Ці повідомлення, як-от MsgUpdateClient і MsgTimeout, зберігаються в смарт-контракті для майбутніх повторних викликів.
Після виконання процес передбачає успішне завершення повідомлень MsgUpdateClient і MsgTimeout. Після цього знову запускається MsgTimeout через інше підповідомлення в контракті CosmWasm. Ця послідовність повторюється до тих пір, поки не буде вкрадено всі кошти для певного токена або не буде викарбовано бажану кількість токенів IBC.
Помилка була виправлена розробником Cosmos Карлосом Родрігесом приблизно три тижні тому, як зазначено в коміті GitHub. Цей проактивний підхід відображає прихильність Cosmos до безпеки та ефективності їхніх систем реагування.
Цей інцидент був не першим випадком виявлення критичної вразливості в протоколі IBC; ще одна серйозна проблема була виявлена та виправлена в жовтні 2022 року, перш ніж її можна було використовувати.
Разом ці інциденти підкреслюють постійні виклики та важливу пильність, необхідну для захисту складних екосистем блокчейнів, таких як Cosmos.
⚠️Відмова від відповідальності
Цей вміст має на меті збагатити читачів інформацією. Завжди проводите незалежне дослідження та використовуйте дискреційні кошти, перш ніж інвестувати. Читач несе відповідальність за всі операції з купівлі, продажу та інвестування криптоактивів.
