Результати аудиту ноди Neo X: усунені уразливості
66
BlockSec поділився результатами аудиту ноди Neo X, три уразливості виправлено
BlockSec оголосив результати останнього аудиту для Neo X, сайдчейну, сумісного з EVM, який нещодавно був запущений Neo. В ході аудиту було виявлено три потенційні уразливості, всі з яких були усунені. Методологія
Аудит був спрямований на реалізацію ноди Neo X, зокрема на модифікації, зроблені з Geth (go-ethereum), з якого було форкнуто ноду Neo X. Протокол консенсусу dBFT не включався в обсяг аудиту.
BlockSec використовував комбінацію автоматизованих аналізаторів коду, фаззерів та семантичного аналізу для виявлення уразливостей. Також проаналізовано потенційні шляхи атак у незалежних аудитах, щоб підтвердити висновки перед наданням рекомендацій щодо виправлення. Висновки
Під час аудиту було виявлено одну високоризикову та дві середньоризикові проблеми, всі які були вирішені командою Neo X.
Найкритичніша проблема полягала в недостатній валідації адрес при надсиланні мережних повідомлень P2P, які є необхідними для протоколу dBFT. Цю уразливість було пом`якшено шляхом впровадження перевірок у контракті управління для забезпечення належних дозволів.
Обидві проблеми середнього ризику виявлені у системі управління. Перша стосувалася потенційного вектора відмови в обслуговуванні в межах контракту управління. Контракт дозволяв будь-якому користувачеві сплатити плату за реєстрацію, щоб стати кандидатом у валідатори до максимальної місткості.
Злочинці могли експлуатувати це, використовуючи функцію exitCandidate, щоб повернути відшкодування повної плати за реєстрацію, мінус витрати на транзакції, що фактично дозволяло їм займати слоти кандидатів без довгострокових витрат. Команда Neo X вирішила це, гарантуючи, що повна плата більше не є поверненою, що ускладнює такі атаки.
Друга проблема середнього ризику стосувалася відсутності часового замка в механізмі голосування, використованому для привілейованих операцій у межах контракту управління. Це могло дозволити ворожому захопленню поточного списка валідаторів currentConsensus. Введення часового замка зараз надає критичне вікно порятунку для запобігання потенційним атакам від зловмисних пропозицій.
Оригінальний оголошення та звіт про аудит можна переглянути за посиланням:
Хакери втратили 13 мільйонів доларів через панічні продажі під час ринкових коливань
Хакери втратили 13,4 мільйона доларів через панічний продаж ETH під час ринкового спаду. Після невдалих спроб відновлення, їх стратегія вражає своєю емоційністю. 💰🔍😱
Пенсіонер втратив всі свої заощадження через криптомошенництво: жахливі наслідки шахрайських схем на прикладі історії з Коннектикуту
Пенсіонер із Коннектикуту втратив всі заощадження через криптомошенництво, ставши жертвою шахрайської платформи ZAP Solutions. Це підкреслює небезпеки цифрових інвестицій 💰⚠️. ФБР розслідує зростаючі випадки шахрайств.
Розіграш з AI: небезпечний жарт про безхатнього чоловіка провокує паніку та дзвінки на 911 в США
Поліція попереджає про небезпечний TikTok-розіграш з AI-зображеннями безхатнього чоловіка, який викликає паніку та займе екстрені ресурси. 📞🚔😱
США отримали 120,000 біткоїнів через виявлену вразливість у генерації приватних ключів
США виявили ключі до 120,000 BTC завдяки уразливості у генератора випадкових чисел, не конфіскувавши їх. Багато транзакцій мали фіксовану плату, що підкреслює підозрілість ситуації. 🔑💰🚨