ช่องโหว่ CometBFT Zero-Day
นักวิจัย Doyeon Park ได้เปิดเผยช่องโหว่ CometBFT Zero-Day ที่มีความร้ายแรงสูง ซึ่งสามารถทำให้เครือข่าย Cosmos ที่รักษามูลค่ามากกว่า 8 พันล้านดอลลาร์ หยุดชะงัก โดยเน้นถึงช่องว่างในการเปิดเผยข้อมูลในโครงสร้างพื้นฐานของคริปโตเคอเรนซี
รายละเอียดของช่องโหว่
ช่องโหว่ Zero-Day ที่สำคัญในชั้นฉันทามติ CometBFT ของ Cosmos ได้ถูกเปิดเผยต่อสาธารณะโดยนักวิจัยด้านความปลอดภัย Doyeon Park ซึ่งสร้างคำถามใหม่เกี่ยวกับแนวทางการเปิดเผยข้อมูลที่ประสานกันในโครงสร้างพื้นฐานบล็อกเชนหลัก
Park กล่าวว่า ช่องโหว่นี้มีคะแนน CVSS 7.1 (สูง) ซึ่งสามารถทำให้โหนดในเครือข่าย Cosmos หยุดชะงักในระหว่างขั้นตอนการซิงโครไนซ์บล็อก ซึ่งอาจทำให้เครือข่ายที่รักษามูลค่ามากกว่า 8 พันล้านดอลลาร์ในมูลค่าบนบล็อกเชนเกิดการหยุดชะงักได้
ผลกระทบและความเสี่ยง
ในโพสต์บน X Park เขียนว่าปัญหานี้ไม่อนุญาตให้มี “การขโมยสินทรัพย์โดยตรง” แต่เตือนว่าการหยุดหรือชะลอการผลิตบล็อกในหลายเครือข่ายยังคงเป็นความเสี่ยงด้านการดำเนินงานและเศรษฐกิจที่ร้ายแรงสำหรับผู้ตรวจสอบ แอปพลิเคชัน และผู้ใช้
นักวิจัยยังกล่าวเพิ่มเติมว่าพวกเขาเลือกที่จะเปิดเผยช่องโหว่ต่อสาธารณะหลังจากที่ความพยายามในการแก้ไขปัญหาผ่านช่องทางการเปิดเผยช่องโหว่ที่ประสานกันตามมาตรฐานล้มเหลวเนื่องจาก “การขาดความร่วมมือ” จากผู้ขาย
ผลกระทบต่อระบบนิเวศ
เนื่องจาก CometBFT เป็นพื้นฐานของฉันทามติสำหรับหลายเครือข่ายที่ใช้ Cosmos-SDK การหยุดชะงักในระหว่างการซิงโครไนซ์บล็อกสามารถส่งผลกระทบต่อระบบนิเวศที่กว้างขึ้น ตั้งแต่การโอน IBC ไปจนถึงโปรโตคอล DeFi ที่สร้างขึ้นบนเครือข่ายที่ได้รับผลกระทบ
แม้ว่าเงินทุนจะไม่มีความเสี่ยงในทันที การหยุดชะงักของโหนดที่ยืดเยื้อสามารถกระตุ้นเหตุฉุกเฉินด้านการปกครอง การอภิปรายเกี่ยวกับการตัดทอน และการหยุดชะงักของสภาพคล่อง โดยเฉพาะอย่างยิ่งในเครือข่ายที่ทำหน้าที่เป็นศูนย์กลางการจัดเส้นทางหลักหรือโฮสต์เหรียญ stablecoin ที่มีการกำหนดราคาเป็นดอลลาร์
การเปิดเผยข้อมูลและความโปร่งใส
การตัดสินใจของ Park ที่จะเปิดเผยข้อมูลต่อสาธารณะเน้นย้ำถึงความตึงเครียดระหว่างความโปร่งใสของซอฟต์แวร์โอเพนซอร์สและความจำเป็นในการแก้ไขข้อบกพร่องที่สำคัญในระบบที่รักษาสระสินทรัพย์หลายพันล้านดอลลาร์
สำหรับผู้มีส่วนได้ส่วนเสียใน Cosmos เหตุการณ์นี้น่าจะเร่งเรียกร้องให้มีการจัดทำกระบวนการตอบสนองด้านความปลอดภัยที่เป็นทางการมากขึ้นและความคาดหวังที่ชัดเจนเกี่ยวกับระยะเวลาในการเปิดเผยข้อมูลสำหรับช่องโหว่ในชั้นฉันทามติ
