Secret Network behebt Netzwerkschwachstelle nach White-Hat-Offenlegung

Am 30. November sagte Guy Zyskind, CEO von Privacy Smart Contract Blockchain Secret Network, sagte dass Entwickler eine datenschutzbezogene Schwachstelle gepatcht hatten und die Gelder der Benutzer sicher bleiben. In einem Dokument vom 29. November schrieb Secret Network, dass Benutzer oder Entwickler nichts unternehmen müssten und dass alle aktiven Knoten aktualisiert wurden, um den Exploit am 2. November zu beheben. 

2/ Sie können den Beitrag für die wichtigsten Details lesen, aber der wichtige Teil ist, dass die Schwachstelle gemildert wurde und wahrscheinlich nicht ausgenutzt wurde. Am wichtigsten war, dass Gelder nie gefährdet waren, da Secret sich absichtlich nicht auf die Korrektheit von SGX verlässt – nur auf die Privatsphäre.

— Guy Zyskind (@GuyZys) 29. November 2022

Die Abfolge der Ereignisse, enthüllt Ende gestern von den Secret Network-Entwicklern, begann, als eine Gruppe von White-Hat-Informatikern das Secret-Team am 3. Oktober wegen eines kürzlich aufgedeckten xAPIC-Architekturfehlers (Advanced Programmable Interrupt Controller) kontaktierte. Der Exploit ermöglichte nicht initialisierte Speicherlesevorgänge in bestimmten Software Guard Extension-fähigen (SGX) Intel-CPUs. Secret Network nutzt die SGX-Technologie, um eine vertrauliche Ausführung von Smart Contracts zu ermöglichen. 

As angegeben In ihrer Arbeit registrierten die Forscher zunächst einen Server als Validator-Knoten im Secret Network, selbst wenn sie nicht über ausreichende Mittel verfügten, um ihnen zu vertrauen, um Transaktionen aktiv zu validieren. Der Registrierungsprozess speicherte dann eine Kopie des globalen Konsens-Seeds von Secret in seiner SGX-Enklave. Als nächstes extrahierten die Forscher durch den oben erwähnten CPU-Fehler den Konsens-Seed seines Secret Node und seines privaten Intel Enhanced Privacy ID-Schlüssels. Schließlich waren sie mit diesen Elementen in der Lage, die Datenschutzfunktionen von Secret zu brechen und den internen Zustand aller Smart Contracts im Netzwerk sowie der darin eingebetteten digitalen Assets zu entschlüsseln. 

Geheime Entwickler haben den Exploit am 4. Oktober verifiziert und gemeinsam mit Forschern und Intel-Mitarbeitern einen Plan entwickelt, um die Schwachstelle zu patchen. Zuerst wurden Knoten gewaltsam aus dem Netzwerk ausgeworfen und ihre geheimen Schlüssel gelöscht. Danach konnten Knoten dem Netzwerk nur wieder beitreten, wenn sie alle bekannten Schwachstellen gepatcht hatten, was am 2. November abgeschlossen wurde. „Mit diesem Upgrade ist es jetzt unmöglich, xAPIC-Angriffe gegen das Hauptnetz des Secret Network durchzuführen“, schrieb das Secret Network-Team.

Darüber hinaus werden neue Knoten, die dem Netzwerk beitreten, auf Hardware der Serverklasse beschränkt, um die Angriffsfläche zu begrenzen, die Hardware der Benutzerklasse darstellt. Secret Network wurde 2015 gegründet und hat derzeit eine Marktkapitalisierung von 131 Millionen US-Dollar durch seinen nativen Token SCRT. Die Firma hat sich mit Regisseur Quentin Tarantino zusammengetan, um Secret NFTs im vergangenen November auf den Markt zu bringen.