Lỗ Hổng Zero-Day Trong CometBFT
Nghiên cứu viên Doyeon Park đã công bố một lỗ hổng zero-day nghiêm trọng trong CometBFT, có thể làm đình trệ các chuỗi Cosmos đang bảo vệ tài sản trị giá 8 tỷ USD. Sự việc này đã làm nổi bật những khoảng trống trong việc công bố thông tin về cơ sở hạ tầng cốt lõi của crypto. Lỗ hổng này, được đánh giá với điểm CVSS 7.1 (Cao), có khả năng khiến các nút trên các chuỗi dựa trên Cosmos bị đình trệ trong giai đoạn đồng bộ hóa khối, gây gián đoạn cho các mạng lưới mà tổng giá trị trên chuỗi của chúng vượt quá 8 tỷ USD.
Công Bố Lỗ Hổng
Trong một bài đăng trên X, Park cho biết:
“Tôi đang công bố một lỗ hổng zero-day trong lớp đồng thuận Cosmos (CometBFT). Đây là một vấn đề nghiêm trọng với điểm CVSS 7.1 (Cao) có thể khiến các nút trong hệ sinh thái Cosmos – nơi bảo vệ hơn 8 tỷ USD tài sản – bị đình trệ trong giai đoạn đồng bộ hóa khối.”
Mặc dù lỗ hổng này không cho phép “đánh cắp tài sản trực tiếp”, Park cảnh báo rằng việc ngừng hoặc trì hoãn sản xuất khối trên nhiều chuỗi vẫn là một rủi ro nghiêm trọng về hoạt động và kinh tế đối với các validator, ứng dụng và người dùng.
Quyết Định Công Khai
Nhà nghiên cứu cho biết họ đã quyết định công bố lỗ hổng này công khai chỉ sau khi các nỗ lực giải quyết vấn đề thông qua các kênh công bố lỗ hổng phối hợp tiêu chuẩn bị thất bại do “thiếu sự hợp tác” từ nhà cung cấp. Bởi vì CometBFT là nền tảng đồng thuận cho nhiều chuỗi dựa trên Cosmos-SDK, việc đình trệ trong quá trình đồng bộ hóa khối có thể lan rộng ra toàn bộ hệ sinh thái, ảnh hưởng đến mọi thứ từ chuyển giao IBC đến các giao thức DeFi được xây dựng trên các mạng bị ảnh hưởng.
Rủi Ro và Tác Động
Ngay cả khi không có quỹ nào đang gặp rủi ro ngay lập tức, việc các nút bị đình trệ kéo dài có thể kích hoạt các tình huống khẩn cấp về quản trị, dẫn đến tranh luận về việc cắt giảm và gián đoạn thanh khoản, đặc biệt trên các chuỗi phục vụ như các trung tâm định tuyến cốt lõi hoặc lưu trữ stablecoin định giá bằng đô la. Quyết định công khai của Park làm nổi bật sự căng thẳng giữa tính minh bạch mã nguồn mở và nhu cầu sửa chữa lặng lẽ các lỗi nghiêm trọng trong các hệ thống hiện đang bảo vệ các quỹ tài sản trị giá hàng tỷ USD.
Đối với các bên liên quan của Cosmos, sự cố này có khả năng thúc đẩy các yêu cầu về quy trình phản ứng an ninh chính thức hơn và các kỳ vọng rõ ràng hơn về thời gian công bố thông tin liên quan đến các lỗ hổng trong lớp đồng thuận.
