Multisig-Wallets sind anfällig für die Ausnutzung durch Starknet-Apps, sagt Entwickler Safeheron

Laut einer Pressemitteilung vom 3. März, die Cointelegraph vom Multi-Party Computation (MPC)-Wallet-Entwickler Safeheron zur Verfügung gestellt wurde, können bestimmte Multisignatur-Wallets (Multisig) von Web9-Apps ausgenutzt werden, die das Starknet-Protokoll verwenden. Die Schwachstelle betrifft MPC-Wallets, die mit Starknet-Apps wie dYdX interagieren. Laut Pressemitteilung arbeitet Safeheron mit App-Entwicklern zusammen, um die Sicherheitslücke zu schließen.

Laut der Protokolldokumentation von Safeheron werden MPC-Wallets manchmal von Finanzinstituten und Web3-App-Entwicklern verwendet, um Krypto-Assets zu sichern, die sie besitzen. Ähnlich wie bei einer Standard-Multisig-Brieftasche erfordern mehrere Unterschriften für jede Transaktion. Aber im Gegensatz zu Standard-Multisigs erfordern sie weder die Bereitstellung spezialisierter Smart Contracts in der Blockchain, noch müssen sie in das Protokoll der Blockchain eingebaut werden.

Stattdessen funktionieren diese Wallets, indem sie „Shards“ eines privaten Schlüssels generieren, wobei jeder Shard von einem Unterzeichner gehalten wird. Diese Shards müssen außerhalb der Kette zusammengefügt werden, um eine Signatur zu erzeugen. Aufgrund dieses Unterschieds können MPC-Wallets niedrigere Gasgebühren haben als andere Arten von Multisigs und Blockchain-agnostisch sein, so die Dokumentation.

MPC-Geldbörsen sind oft als sicherer angesehen als einzelne Signatur-Wallets, da ein Angreifer sie im Allgemeinen nicht hacken kann, es sei denn, sie kompromittieren mehr als ein Gerät.

Safeheron behauptet jedoch, eine Sicherheitslücke entdeckt zu haben, die entsteht, wenn diese Wallets mit Starknet-basierten Apps wie dYdX und Fireblocks interagieren. Wenn diese Apps „eine stark_key_signature und/oder api_key_signature erhalten“, können sie „den Sicherheitsschutz privater Schlüssel in MPC-Wallets umgehen“, so das Unternehmen in seiner Pressemitteilung. Dies kann es einem Angreifer ermöglichen, Bestellungen aufzugeben, Layer-2-Transfers durchzuführen, Bestellungen zu stornieren und sich an anderen nicht autorisierten Transaktionen zu beteiligen.

Safeheron implizierte, dass die Schwachstelle nur die privaten Schlüssel der Benutzer an den Wallet-Anbieter weitergibt. Solange der Wallet-Anbieter selbst nicht unehrlich ist und nicht von einem Angreifer übernommen wurde, sollten die Gelder des Benutzers daher sicher sein. Sie argumentierte jedoch, dass dies den Nutzer auf das Vertrauen in den Wallet-Anbieter angewiesen mache. Dies kann es Angreifern ermöglichen, die Sicherheit des Wallets zu umgehen, indem sie die Plattform selbst angreifen, wie das Unternehmen erklärte:

„Die Interaktion zwischen MPC-Wallets und dYdX oder ähnlichen dApps [dezentrale Anwendungen], die von Signaturen abgeleitete Schlüssel verwenden, untergräbt das Prinzip der Selbstverwahrung für MPC-Wallet-Plattformen. Kunden können möglicherweise vordefinierte Transaktionsrichtlinien umgehen, und Mitarbeiter, die das Unternehmen verlassen haben, behalten möglicherweise weiterhin die Fähigkeit, die dApp zu betreiben.“

Das Unternehmen sagte, dass es mit den Web3-App-Entwicklern Fireblocks, Fordefi, ZenGo und StarkWare zusammenarbeitet, um die Schwachstelle zu beheben. Man habe auch dYdX auf das Problem aufmerksam gemacht, hieß es. Mitte März plant das Unternehmen, sein Protokoll Open Source zu machen, um App-Entwicklern beim Patchen der Schwachstelle weiter zu helfen.

Cointelegraph hat versucht, dYdX zu kontaktieren, konnte jedoch vor der Veröffentlichung keine Antwort erhalten.

Avihu Levy, Head of Product bei StarkWare, sagte gegenüber Cointelegraph, dass das Unternehmen den Versuch von Safeheron begrüßt, das Bewusstsein für das Problem zu schärfen und bei der Bereitstellung einer Lösung zu helfen, und erklärte:

„Es ist großartig, dass Safeheron ein Open-Source-Protokoll bereitstellt, das sich auf diese Herausforderung konzentriert[…]Wir ermutigen Entwickler, sich jeder Sicherheitsherausforderung zu stellen, die bei einer Integration auftreten sollte, wie begrenzt ihr Umfang auch sein mag. Dazu gehört auch die Herausforderung, die jetzt diskutiert wird.

Starknetz ist eine Schicht 2 Das Ethereum-Protokoll verwendet Zero-Knowledge-Beweise um das Netzwerk zu sichern. Wenn sich ein Benutzer zum ersten Mal mit einer Starknet-App verbindet, leitet er einen STARK-Schlüssel mit seiner gewöhnlichen Ethereum-Brieftasche ab. Es ist dieser Prozess, von dem Safeheron sagt, dass er zu durchgesickerten Schlüsseln für MPC-Geldbörsen führt.

Starknet hat im Februar versucht, seine Sicherheit und Dezentralisierung zu verbessern Open-Sourcing seiner Prüfer.