कई महत्वपूर्ण कमजोरियों की खोज के बाद, उद्योग-अग्रणी blockchain सुरक्षा कंपनी वेरीचैन्स ने अपनी संपत्ति की सुरक्षा के उपाय करने और शोषण की संभावना को कम करने के लिए टेंडरमिंट के IAVL प्रूफ सत्यापन का उपयोग करते हुए परियोजनाओं की सिफारिश की है।
वेरीचेन्स ने एक सार्वजनिक सलाह प्रदान की है, वीएसए-2022-1008 मार्च को Finbold के साथ साझा की गई जानकारी के अनुसार, एक प्रमुख BFT सर्वसम्मति इंजन, टेंडरमिंट कोर पर IAVL प्रूफ में एक महत्वपूर्ण खाली मर्कल ट्री भेद्यता के बारे में।
पिछले साल अक्टूबर में, वेरीचैन्स ने इस खोज की खोज की जब वे बीएनबी चेन ब्रिज के टूटने के बाद काम कर रहे थे। गंभीर IAVL स्पूफिंग अटैक की खोज सुरक्षा पेशेवरों द्वारा की गई थी जो कमजोरियों की तलाश कर रहे थे बीएनबी चेन और टेंडरमिंट। उन्होंने कई खामियों को उजागर किया, जिससे वे इस निष्कर्ष पर पहुंचे कि हमले से धन का बड़ा नुकसान हो सकता है। पहले से मौजूद कामकाजी साझेदारी के कारण, बीएनबी चेन को अक्टूबर में इन परिणामों के बारे में सूचित किया गया और तुरंत एक फिक्स तैनात किया गया।
अचानक, टेंडरमिंट/कॉसमॉस अनुरक्षक को खामियों के बारे में निजी तौर पर सूचित किया गया और उन्हें पहचान लिया गया। हालाँकि, टेंडरमिंट लाइब्रेरी को ठीक नहीं किया गया क्योंकि IBC और Cosmos-SDK कार्यान्वयन पहले ही IAVL मर्कल प्रूफ सत्यापन से ICS-23 में बदल चुका था। फिलहाल, कई परियोजनाएं जोखिम में हैं। इन परियोजनाओं में शामिल हैं व्यवस्थित, बिनेंस स्मार्ट चेन, ओकेएक्स, और पोलिनेशीया की एक झाड़ी.
बीएनबी चेन ने निष्कर्षों की सूचना दी
एक दूसरी सार्वजनिक सलाह, के रूप में नामित वीएसए-2022-101, Verichains From Nil to Spoof - क्रिटिकल IAVL स्पूफिंग अटैक वाया मल्टीपल वल्नरेबिलिटी द्वारा भी जारी किया गया है।
यह इसकी जिम्मेदार भेद्यता प्रकटीकरण पहल के हिस्से के रूप में किया गया था। कॉसमॉस हब और टेंडरमिंट पर बने अन्य सभी ब्लॉकचेन टेंडरमिंट कोर नामक एक सर्वसम्मति इंजन द्वारा संचालित होते हैं।
वेरीचैन्स की रिस्पॉन्सिबल वल्नेरेबिलिटी डिस्क्लोजर पॉलिसी के अनुसार, कंपनी ने भेद्यता को सार्वजनिक करने से पहले 120 दिनों तक इंतजार किया। दोष की गंभीरता के कारण, यह संभव है कि आगे के पुलों को हैक किया जा सकता है, जिसके परिणामस्वरूप अतिरिक्त भुगतान खो सकते हैं, जो सैकड़ों मिलियन या शायद अरबों डॉलर तक हो सकते हैं।
परिणामस्वरूप, वेरीचैन्स ने सिफारिश की है कि टेंडरमिंट के आईएवीएल-प्रूफ सत्यापन पर भरोसा करने वाली कोई भी कमजोर वेब3 परियोजनाएं तत्काल सुरक्षा उन्नयन लागू करें।
एक बार खोजे जाने के बाद, Verichains टीम तुरंत कंपनी की साइट के माध्यम से जनता के सामने पाई गई कमजोरियों और सुरक्षा छेदों का खुलासा करती है।
स्रोत: https://finbold.com/verichains-warns-cosmos-bsc-okx-projects-of-serious-security-flaws/