लिटकॉइन, ZCash, डॉगकॉइन और अन्य नेटवर्क को प्रभावित करने वाले गंभीर बग की पहचान की गई: अनुसंधान

ब्लॉकचैन सिक्योरिटी फर्म हैलबॉर्न ने 280 से अधिक नेटवर्क को प्रभावित करने वाली कई महत्वपूर्ण और शोषण योग्य कमजोरियों का पता लगाया है, जिसमें लिटकोइन (LTC) और Zcash (ZEC) शामिल हैं। कोड-नाम "Rab13s", इस भेद्यता ने $25 बिलियन से अधिक की डिजिटल संपत्ति को जोखिम में डाल दिया है।

यह पहली बार डॉगकॉइन नेटवर्क में एक साल पहले पाया गया था, जिसे तब प्रीमियर मेमेकॉइन के पीछे टीम द्वारा तय किया गया था।

51% हमले और अन्य मुद्दे

आधिकारिक ब्लॉग पोस्ट के अनुसार, होलबोर्न के शोधकर्ताओं ने पीयर-टू-पीयर (पी2पी) संचार से संबंधित सबसे महत्वपूर्ण भेद्यता की खोज की, जिसका अगर शोषण किया जाता है, तो हमलावरों को आम सहमति संदेश तैयार करने और उन्हें अलग-अलग नोड्स में भेजने और उन्हें ऑफ़लाइन ले जाने में मदद मिल सकती है। आखिरकार, इस तरह का खतरा 51% हमलों और अन्य गंभीर मुद्दों जैसे जोखिमों के लिए नेटवर्क को भी उजागर कर सकता है।

"एक हमलावर getaddr संदेश का उपयोग करके नेटवर्क साथियों को क्रॉल कर सकता है और अप्रकाशित नोड्स पर हमला कर सकता है।"

फर्म ने एक और शून्य-दिन की पहचान की जो विशिष्ट रूप से डॉगकोइन से संबंधित था, जिसमें एक आरपीसी (रिमोट प्रोसीजर कॉल) रिमोट कोड निष्पादन भेद्यता शामिल थी जो व्यक्तिगत खनिकों को प्रभावित करती थी।

इन शून्य-दिनों के वेरिएंट को इसी तरह के ब्लॉकचेन नेटवर्क में भी खोजा गया था, जैसे कि लिटकोइन और ज़कैश। जबकि नेटवर्क के बीच कोडबेस में अंतर के कारण सभी बग प्रकृति में शोषक नहीं हैं, उनमें से कम से कम प्रत्येक नेटवर्क पर हमलावरों द्वारा शोषण किया जा सकता है।

कमजोर नेटवर्क के मामले में, हलबॉर्न ने कहा कि संबंधित भेद्यता के सफल शोषण से सेवा या रिमोट कोड निष्पादन से इनकार हो सकता है।

सुरक्षा मंच का मानना ​​है कि इन Rab13s कमजोरियों की सादगी से हमले की संभावना बढ़ जाती है।

आगे की जांच के बाद, हेलबॉर्न शोधकर्ताओं ने आरपीसी सेवाओं में एक दूसरी भेद्यता पाई, जिसने एक हमलावर को आरपीसी अनुरोधों के माध्यम से नोड को क्रैश करने में सक्षम बनाया। लेकिन सफल शोषण के लिए वैध साख की आवश्यकता होगी। इससे पूरे नेटवर्क के जोखिम में होने की संभावना कम हो जाती है क्योंकि कुछ नोड स्टॉप कमांड लागू करते हैं।

दूसरी ओर, एक तीसरी भेद्यता, दुर्भावनापूर्ण संस्थाओं को सार्वजनिक इंटरफ़ेस (RPC) के माध्यम से नोड चलाने वाले उपयोगकर्ता के संदर्भ में कोड निष्पादित करने देती है। इस शोषण की संभावना भी कम है क्योंकि इसके लिए भी एक सफल हमले को अंजाम देने के लिए वैध क्रेडेंशियल की आवश्यकता होती है।

बग शोषण

इस बीच, Rab13s के लिए एक शोषण किट विकसित की गई है जिसमें विभिन्न अन्य नेटवर्क पर हमलों को प्रदर्शित करने के लिए विन्यास योग्य मापदंडों के साथ अवधारणा का प्रमाण शामिल है।

हलबॉर्न ने पहचान किए गए हितधारकों के साथ सभी आवश्यक तकनीकी विवरणों को साझा करने की पुष्टि की है ताकि उन्हें बगों को ठीक करने में मदद मिल सके, साथ ही साथ समुदाय और खनिकों के लिए प्रासंगिक पैच जारी किए जा सकें।