Dompet multisig rentan terhadap eksploitasi oleh aplikasi Starknet, kata pengembang Safeheron

Dompet multisignature (multisig) tertentu dapat dieksploitasi oleh aplikasi Web3 yang menggunakan protokol Starknet, menurut siaran pers 9 Maret yang diberikan kepada Cointelegraph oleh pengembang dompet Multi-Party Computation (MPC) Safeheron. Kerentanan memengaruhi dompet MPC yang berinteraksi dengan aplikasi Starknet seperti dYdX. Menurut siaran pers, Safeheron bekerja sama dengan pengembang aplikasi untuk menambal kerentanan tersebut.

Menurut dokumentasi protokol Safeheron, dompet MPC terkadang digunakan oleh lembaga keuangan dan pengembang aplikasi Web3 untuk mengamankan aset kripto yang mereka miliki. Mirip dengan dompet multisig standar, mereka membutuhkan beberapa tanda tangan untuk setiap transaksi. Tapi tidak seperti multisig standar, mereka tidak memerlukan kontrak pintar khusus untuk diterapkan ke blockchain, juga tidak harus dibangun ke dalam protokol blockchain.

Alih-alih, dompet ini bekerja dengan menghasilkan “pecahan” kunci pribadi, dengan setiap pecahan dipegang oleh satu penanda tangan. Pecahan ini harus digabungkan bersama secara off-chain untuk menghasilkan tanda tangan. Karena perbedaan ini, dompet MPC dapat memiliki biaya gas yang lebih rendah daripada jenis multisig lainnya dan dapat menjadi agnostik blockchain, menurut dokumen.

Dompet MPC adalah sering dianggap lebih aman daripada dompet tanda tangan tunggal, karena penyerang umumnya tidak dapat meretasnya kecuali mereka membahayakan lebih dari satu perangkat.

Namun, Safeheron mengklaim telah menemukan celah keamanan yang muncul saat dompet ini berinteraksi dengan aplikasi berbasis Starknet seperti dYdX dan Fireblocks. Ketika aplikasi ini “mendapatkan stark_key_signature dan/atau api_key_signature,” mereka dapat “melewati perlindungan keamanan kunci pribadi di dompet MPC,” kata perusahaan tersebut dalam siaran persnya. Ini dapat memungkinkan penyerang untuk melakukan pemesanan, melakukan transfer lapisan 2, membatalkan pesanan, dan terlibat dalam transaksi tidak sah lainnya.

Terkait: Penipuan "transfer nilai nol" baru menargetkan pengguna Ethereum

Safeheron menyiratkan bahwa kerentanan hanya membocorkan kunci pribadi pengguna ke penyedia dompet. Oleh karena itu, selama penyedia dompet itu sendiri tidak curang dan belum diambil alih oleh penyerang, dana pengguna seharusnya aman. Namun, hal ini membuat pengguna bergantung pada kepercayaan pada penyedia dompet. Hal ini memungkinkan penyerang menghindari keamanan dompet dengan menyerang platform itu sendiri, seperti yang dijelaskan perusahaan:

“Interaksi antara dompet MPC dan dYdX atau dApps serupa [aplikasi terdesentralisasi] yang menggunakan kunci yang diturunkan dari tanda tangan merusak prinsip hak asuh sendiri untuk platform dompet MPC. Pelanggan mungkin dapat melewati kebijakan transaksi yang telah ditentukan sebelumnya, dan karyawan yang telah meninggalkan organisasi masih dapat mempertahankan kemampuan untuk mengoperasikan dApp.”

Perusahaan mengatakan sedang bekerja dengan pengembang aplikasi Web3 Fireblocks, Fordefi, ZenGo, dan StarkWare untuk menambal kerentanan. Itu juga membuat dYdX menyadari masalahnya, katanya. Pada pertengahan Maret, perusahaan berencana untuk menjadikan protokolnya open source dalam upaya untuk lebih membantu pengembang aplikasi menambal kerentanan.

Cointelegraph telah mencoba menghubungi dYdX, tetapi tidak dapat memperoleh tanggapan sebelum dipublikasikan.

Avihu Levy, Kepala Produk di StarkWare mengatakan kepada Cointelegraph bahwa perusahaan memuji upaya Safeheron untuk meningkatkan kesadaran tentang masalah ini dan membantu memberikan perbaikan, dengan menyatakan:

 “Sangat bagus bahwa Safeheron adalah sumber terbuka protokol yang berfokus pada tantangan ini[…]Kami mendorong pengembang untuk mengatasi setiap tantangan keamanan yang harus muncul dengan integrasi apa pun, betapapun terbatasnya ruang lingkupnya. Ini termasuk tantangan yang sedang dibahas sekarang.

Starknet adalah lapisan 2 protokol Ethereum itu menggunakan bukti tanpa pengetahuan untuk mengamankan jaringan. Saat pengguna pertama kali terhubung ke aplikasi Starknet, mereka mendapatkan kunci STARK menggunakan dompet Ethereum biasa mereka. Proses inilah yang menurut Safeheron menghasilkan kunci bocor untuk dompet MPC.

Starknet berusaha untuk meningkatkan keamanan dan desentralisasi pada bulan Februari oleh open-sourcing pepatahnya.