Verichains enthüllt kritische Sicherheitslücken in TSS- und MPC-Protokollen

Neuauflage von Plato

Verfolger: 0

Schlüssel-Höhepunkte:

Das Unternehmen stellte fest, dass fast alle TSS-Anwendungen anfällig für akute Wiederherstellungsangriffe sind, und identifizierte Schlüsselextraktionsangriffe im MPC-Protokoll.
Verichains testete das Cross-Chain-Asset-Management und die Non-Custodial-Key-Infrastruktur vieler beliebter Wallets, extrahierte vollständige private Schlüssel, ohne Spuren zu hinterlassen, und glaubt, dass über 8 Milliarden US-Dollar an Total Value Locked (TVL) gefährdet sind.
Das Unternehmen fordert Plattformen und Projekte, die sich auf ECDSA verlassen, auf, die Implementierung robuster Sicherheitsmaßnahmen zu priorisieren.

Wahrheitsketten ist ein führender Anbieter von Blockchain-Sicherheitslösungen, der sich auf Perimetersicherheit, Code-Audits, Kryptoanalyse und Untersuchung von Vorfällen spezialisiert hat. Verichains untersucht seit Oktober 2022 die Threshold-ECDSA-Sicherheit und stellte fest, dass fast alle Threshold Signature Schemes (TSS)-Anwendungen anfällig für Schlüsselwiederherstellungsangriffe sind. Heute fanden sie kritische Schlüsselextraktionsangriffe in TSS, dem Multi-Party Computing (MPC)-Protokoll.

Führende Sicherheitsfirmen führen TSSs durch mehrere Audits, erkennen aber die von Verichains gefundenen Sicherheitsprobleme nicht. TSS ist ein kryptografisches Protokoll, das es einer Gruppe von Parteien ermöglicht, eine Signatur für eine Nachricht zu erstellen, ohne ihre privaten Schlüssel preiszugeben. Die Blockchain-Technologie gewährleistet mit dieser Anwendung die Sicherheit und Verfügbarkeit von Geldern. Mit TSS werden Gelder dezentralisiert und von einer verteilten Gruppe von Unterzeichnern kontrolliert, die zusammenarbeiten, um Transaktionen zu autorisieren.

Das Multi-Party-Computing-System (MPC), bei dem TSS als Protokoll verwendet wird, wird von vielen großen Finanz- und Blockchain-Institutionen zur Sicherung digitaler Assets verwendet. Zu diesen Institutionen gehören Fireblocks, Binance, Revolut, BNY Mellon, ING, Coinbase und andere. Viele Institutionen implementieren MPC-Protokolle für Schwellen-ECDSA basierend auf den Algorithmen GG18, GG20 und CGGMP21.

Über 8 Milliarden US-Dollar TVL gefährdet

Verichains erstellte in seinen Tests Proof-of-Concept-Angriffe auf das Cross-Chain-Asset-Management und die Non-Custodial-Key-Infrastruktur vieler beliebter Wallets. Sie extrahierten den vollständigen privaten Schlüssel, ohne bei den Angriffen eine Spur zu hinterlassen und gegenüber anderen Parteien unschuldig zu erscheinen. Das Unternehmen gibt an, dass TVL im Wert von mindestens 8 Milliarden US-Dollar gefährdet ist.

Thanh Nguyen, Mitbegründer von Verichains und ehemaliger Leiter der CPU-Sicherheit bei Intel, sagte: „Verichains engagiert sich stark für die verantwortungsbewusste Offenlegung von Schwachstellen, und wir gehen bei der Offenlegung von Angriffen sorgfältig vor und erwägen Schritte, insbesondere angesichts der Vielzahl betroffener Projekte und bedeutender Benutzer Gelder in Gefahr.“

Das Team fordert Plattformen und Projekte, die sich auf ECDSA verlassen, auf, die Implementierung robuster Sicherheitsmaßnahmen zu priorisieren. Sie sind bereit zu helfen, die Sicherheit der Bahnsteige zu gewährleisten. Verichains benachrichtigt potenzielle Anwendungen, die von den Angriffen betroffen sein könnten, und veröffentlicht Einzelheiten zu den Testangriffen, sobald die Schwachstellen beseitigt sind.

Das 2017 gegründete Unternehmen hat dazu beigetragen, Sicherheitsprobleme bei den bekanntesten Krypto-Angriffen zu untersuchen und zu beheben, darunter Ronin Bridge und BNB Bridge. Im Dezember 2022 wurde Verichains erstmals entdeckt Schwachstelle bei der Extraktion privater Schlüssel im sicheren Multi-Party-Client von fastMPC von Multichain.

Adnan ist ein Krypto-Enthusiast, der die neuesten Entwicklungen im Krypto-Ökosystem stets im Auge behält. Er ist Umweltingenieur, arbeitet an seinem MBA und verfolgt seit mehreren Jahren Innovationen im Bereich FinTech. Adnan erstellt schriftliche Inhalte, um Kryptoprojekte zu überprüfen und die Krypto-Community zu unterstützen.