OpenBountyXTZ洞时间解析

Hash (SHA 1) artikel ini: 4f5b9f376aa53c6cccca03a2ddd065a59550d73c

Nomor: Keamanan Sumber No.003

Pada tanggal 3 Juli 2024, platform bug bounty OpenBounty mengungkapkan bahwa laporan bug yang tidak sah dipublikasikan di blockchain, tindakan ini sangat tidak bertanggung jawab dan tidak menghormati setiap infrastruktur dan peneliti keamanan yang terlibat dalam daftar tersebut, dan juga karena total nilai bounty dari semua bug melebihi 110 miliar dolar, ini telah menimbulkan diskusi di kalangan masyarakat umum, membuat platform bug bounty dikenal luas di mata publik. Tim keamanan sumber rantai telah melakukan analisis keamanan dan pengungkapan sebagian dari kejadian bocornya, dengan harapan dapat membantu pembaca memahami detail-detailnya, dan lebih memahami keberadaan platform bug bounty seperti ini.

Informasi Terkait

OpenBounty telah secara tidak sah mengungkapkan informasi laporan kerentanan di SEHNTU blockchain (proposal terkait Ethereum telah dihapus):

Bug bounty/Penetrasi

Platform bounty kerentanan on-chain dunia ini mirip dengan platform 'digging' di keamanan jaringan tradisional, di mana tujuan utama keduanya adalah untuk menarik perhatian peneliti keamanan dan white hat hacker dengan memberikan insentif untuk menemukan dan melaporkan kerentanan sistem, guna meningkatkan keamanan secara keseluruhan.

Model operasional mereka dalam hal waktu berjalan seperti ini:

（1）Tantangan Inisiasi Proyek: Baik proyek blockchain maupun aplikasi jaringan tradisional akan merilis bug bounty di platform, tanpa kecuali.

（2）Laporan kerentanan: Para peneliti keamanan dan peretas menguji kode atau sistem proyek, dan setelah menemukan kerentanan, mereka mengirimkan laporan terperinci.

（3）Verifikasi dan Perbaikan: Tim proyek memverifikasi laporan kerentanan dan melakukan perbaikan.

（4）Pemberian Hadiah: Setelah perbaikan selesai, sesuai dengan tingkat keparahan kerentanan dan jangkauan dampaknya, pemberian hadiah akan diberikan kepada penemu yang bersangkutan.

Keamanan jaringan tradisional utamanya mengikuti kerentanan IT tradisional seperti aplikasi web, server, perangkat jaringan, dll. Seperti XXS [1], injeksi SQL [2], CSRF [3];

Keamanan blockchain lebih mengikuti Smart Contract, protokol, Dompet enkripsi, seperti serangan Sybil [4], serangan Interaksi Cross-Chain [5], pemanggilan eksternal yang tidak normal, dll.

Laporan Kerentanan Penting

Dalam laporan kerentanan Nomor 33 yang diposting oleh OpenBounty, CertiK melakukan audit dan pengujian penetrasi terhadap SHENTU. Dari proposal ini, dapat dilihat bahwa pengujian keamanan kali ini bertujuan untuk mengatasi kerentanan keamanan internal dan masalah pembatasan otorisasi di SHENTU.

Namun setelah membaca kode sumber SHENTU, saya menemukan kode yang menggantikan awalan, mengganti awalan CertiK dengan awalan SHENTU. Meskipun dapat dimengerti dalam pengembangan, ini memberikan kesan CertiK berperan sebagai hakim dan atlet sekaligus.

Dalam 32 laporan kerentanan SEHNTU lain yang belum dihapus, Anda dapat melihat deskripsi masalah, pemilih, deskripsi hadiah, dan bahkan kode dari setiap sistem setelah pembaruan kerentanan. Informasi yang tidak sah ini dapat dengan mudah menyebabkan kerusakan sekunder pada sistem-sistem ini, karena setiap sistem biasanya memiliki beberapa masalah warisan atau kebiasaan pengkodean yang unik selama proses pengembangan. Untuk Hacker, ruang manfaat informasi ini memang sangat besar.

Penguraian Kata

[ 1 ]XXS: Penyerang menyuntikkan skrip berbahaya ke halaman web, sehingga skrip tersebut dijalankan saat pengguna menelusuri halaman web tersebut, termasuk XSS refleksi, XSS penyimpanan, dan XSS DOM.

[ 2 ]SQL Injection: metode serangan yang melibatkan penyisipan kode SQL jahat ke dalam bidang input (seperti formulir, parameter URL), kemudian diteruskan ke database untuk dieksekusi. Serangan semacam ini dapat mengakibatkan kebocoran data database, modifikasi atau penghapusan data, bahkan mendapatkan kendali atas server database.

[ 3 ] CSRF: metode serangan yang menggunakan sesi yang telah dikautentikasi pengguna untuk mengirim permintaan yang tidak diotorisasi ke situs yang dipercaya. Penyerang menggoda pengguna untuk mengunjungi halaman web yang dikustomisasi atau mengklik tautan, sehingga melakukan tindakan tanpa sepengetahuan pengguna seperti transfer dana, mengubah informasi pribadi, dan sebagainya.

[ 4 ]Serangan Sybil: Dalam jaringan terdistribusi, penyerang membuat long identitas palsu (Node) dalam upaya memanipulasi proses pengambilan keputusan dalam jaringan. Penyerang mencoba memengaruhi Algoritme Konsensus dengan membuat sejumlah besar Node palsu untuk mengendalikan konfirmasi transaksi atau mencegah transaksi yang sah.

[ 5 ] Serangan Interaksi Cross-Chain: Penyerang dapat menghindari pemeriksaan keamanan di kontrak dengan memanipulasi permintaan transaksi Interaksi Cross-Chain, mencuri atau mengubah data transaksi Interaksi Cross-Chain, seperti serangan jembatan Interaksi Cross-Chain Poly Network.

Kesimpulan

Secara keseluruhan, seperti yang diungkapkan oleh OpenZepplin dan HackenProof, manajemen bug bounty harus mendapatkan izin dari penerbitnya, ini merupakan masalah hukum dan etika profesional yang sejalan, serta merupakan dasar dari banyak pencapaian pengembang independen.

Chain Source Technology adalah perusahaan yang fokus pada keamanan blockchain. Pekerjaan inti kami termasuk penelitian keamanan blockchain, analisis data on-chain, serta penyelamatan aset dan kontrak long yang berhasil mengembalikan aset digital yang dicuri untuk individu dan lembaga. Di samping itu, kami berkomitmen untuk menyediakan laporan analisis keamanan proyek untuk lembaga industri, jejak on-chain, dan layanan konsultasi teknis/dukungan.

Terima kasih atas pembacaan Anda, kami akan terus fokus dan berbagi konten keamanan blockchain.