Tendermint affirme que la vulnérabilité Cosmos du mois dernier a révélé une faille de sécurité

Les développeurs du réseau Cosmos ont publié aujourd'hui une Déclaration de transparence complète de la « vulnérabilité de sécurité critique » du mois dernier qui aurait permis aux pirates de contourner certaines pénalités pour mauvaise conduite sur le réseau.

Zaki Manian, directeur de Tendermint Inc – l'entité à but lucratif derrière la Technologies de CORE du réseau Cosmos – a expliqué à CoinDesk dans une interview :

« La clé est que nous voulons rendre très difficile tout mauvais comportement sur le réseau, puis retirer immédiatement vos jetons et échapper aux conséquences de ce mauvais comportement... comme voter pour quelque chose de mauvais en matière de gouvernance [ou] les choses plus complexes sont la double signalisation contre un échange pour potentiellement inverser l'état. »

Normalement, les validateurs Cosmos – équivalents aux mineurs sur un réseau blockchain de preuve de travail – qui se comportent mal, soit en votant au hasard, soit en validant de fausses transactions, sont pénalisés par la réduction de leurs jetons ATOM mis en jeu. Ceci est rendu possible grâce à un délai d'attente minimum de 21 jours qui empêche les validateurs de retirer leurs jetons ATOM du staking avant que le réseau ne soit en mesure de détecter et de filtrer suffisamment leurs actions.

Comme indiqué danspublication d'aujourd'huiSelon l'équipe Tendermint, la vulnérabilité du code découverte le mois dernier pourrait permettre à un validateur de contourner la période complète de déblocage ou de « déblocage » « et de faire en sorte que ses fonds deviennent immédiatement liquides, essentiellement par déblocage instantané ».

« Dans les 24 premières heures suivant la réception du rapport de bogue, nos outils ont détecté environ 22 Événements au total », a écrit l'équipe.

Lancé en mars dernier, Cosmos est un réseau blockchain relativement nouveau, conçu pour améliorer l'interopérabilité entre différentes plateformes blockchain. 16 millions de dollarsa été levé lors d'une offre initiale de pièces en 2017.

La faille de sécurité révélée aujourd'hui a en réalité été découverte dans le module de jalonnement du kit de développement logiciel (SDK) Cosmos , lancé en 2018 comme une boîte à outils blockchain de pointe. Il était alors présenté comme « une autre façon de construire des blockchains, en toute sécurité et simplicité ». dans un article de blog précédent.

Leçons apprises

Jessy Irwin, responsable de la sécurité de Tendermint, a déclaré lors d'une interview avec CoinDesk que même si la vulnérabilité révélée aujourd'hui est la première du genre à avoir un impact sur le réseau principal Cosmos , « ce n'est pas le premier bug qui nous a été signalé ».

« Nous avons réalisé sept audits de sécurité et de nombreux problèmes ont été signalés. De plus, nous avons mis en place un programme de recherche de bugs très actif », a déclaré Irwin. « Depuis mon arrivée dans l'équipe il y a un an et demi, nous avons BIT investi pour créer un environnement où les gens signalent les bugs au lieu de rester inactifs. »

La vulnérabilité, désormais entièrement corrigée sur le réseau Cosmos , a nécessité l'exécution d'un hard fork d'urgence ou d'une mise à niveau système par les validateurs Cosmos . La mise à jour a été activée le 31 mai au bloc 482 100.

Irwin a souligné que pour que ce hard fork s'exécute avec succès sans entraîner de division du réseau, un avis urgent doit être envoyé à tous les validateurs Cosmos et autres fournisseurs de services qui exécutaient le logiciel Cosmos sur leurs ordinateurs.

À l'avenir, Irwin a déclaré à CoinDesk que ONEune des plus grandes leçons tirées du processus de Déclaration de transparence et de mise à niveau de la sécurité était un plus grand besoin de canaux de communication sécurisés avec les validateurs Cosmos et d'autres fournisseurs de services.

Irwin a souligné :

« Nous allons vraiment plaider pour que notre plateforme de validateurs et d'échanges ouvre ses propres canaux de communication de sécurité... Nous travaillons très dur avec notre ensemble de validateurs pour ouvrir cela afin que la prochaine fois, nous n'ayons pas à courir partout et à nous démener pour obtenir des informations pour les Nous contacter . »

Image de Zaki Manian avec l'aimable autorisation de la Fondation Web3