Tim peneliti di dWallet Labs telah menemukan kerentanan zero-day di akun multisig Tron, yang memungkinkan penyerang melewati mekanisme multisignature dan menandatangani transaksi dengan satu tanda tangan.
Dalam postingan gangguan teknis, tim peneliti mengatakan kerentanan tersebut dapat berdampak pada aset senilai $500 juta yang disimpan di akun multisig Tron. Hal ini karena memungkinkan setiap penanda tangan untuk “sepenuhnya mengatasi keamanan multisig yang ditawarkan oleh TRON.”
0d, tim riset keamanan siber superstar kami, menemukan kerentanan di akun multisig TRON yang membahayakan lebih dari $500 juta aset digital – hal itu diungkapkan dan diperbaiki sehingga tidak ada aset pengguna yang berisiko sekarang.
Rincian teknis: https://t.co/nMj6kV6Oc3
— Lab dWallet (@dWalletLabs) 30 Mei 2023
Seperti namanya, dompet multisignature membutuhkan banyak penanda tangan yang ditentukan dalam satu akun untuk menyetujui transaksi dan memindahkan dana, memungkinkan pembuatan akun bersama di crypto. Setiap penanda tangan akun memegang kuncinya sendiri dan akun memerlukan ambang batas tertentu untuk menyetujui transaksi.
Menurut tim peneliti, kerentanan dengan multisig Tron memungkinkan untuk menghasilkan banyak tanda tangan yang valid. Mereka menulis:
“Kami dapat melewati proses verifikasi multi tanda dengan menandatangani pesan yang sama dengan pilihan non-deterministik pilihan kami. Dengan melakukan itu, kami akan dapat menghasilkan banyak tanda tangan berbeda yang valid untuk pesan yang sama dengan kunci privat yang sama.”
Menurut tim keamanan siber, Tron memastikan bahwa tanda tangan itu unik alih-alih memeriksa apakah penanda tangan itu unik. Karena itu, penanda tangan berpotensi melakukan “voting ganda” atau tanda tangan dua kali. Omer Sadika, CEO dWallet Labs, mengatakan perbaikannya sederhana: verifikasi alamat, bukan jumlah tanda tangan.
Para peneliti mencatat bahwa kerentanan dilaporkan ke Tron pada bulan Februari dan diperbaiki beberapa hari setelahnya.
Terkait: Justin Sun mengeluarkan permintaan maaf setelah Sui LaunchPool berselisih dengan CEO Binance
Cointelegraph menghubungi Tron untuk memberikan komentar tetapi tidak menerima tanggapan.
Dalam berita lain, protokol keuangan terdesentralisasi lainnya baru-baru ini mengalami eksploitasi $7.5 juta. Pada 28 Mei, firma keamanan blockchain PeckShield melaporkan bahwa Protokol Jimbos berbasis Arbitrum diretas, mengakibatkan hilangnya 4,000 Ether (ETH).
Majalah: AS dan Cina mencoba menghancurkan Binance, klaim suap $40 juta dari SBF
Sumber: https://cointelegraph.com/news/tron-multisig-accounts-vulnerability-discovered-by-security-team