이 기사의 해시(SHA 1): 4f5b9f376aa53c6cccca03a2ddd065a59550d73c
번호: 체인소스 보안 No.003
2024년 7월 3일, 취약점 포상금 플랫폼인 OpenBounty는 공개 체인에 무단 취약점 보고서를 게시한 것으로 밝혀졌습니다. 이 행동은 목록에 관련된 모든 인프라 및 보안 연구원에게 극히 용납되지 않는 행위입니다. , 모든 취약점의 총 포상금 가치가 110억 달러를 초과했기 때문에 전체 공개 그룹 사이에서 특정 토론이 촉발되어 버그 포상금 플랫폼이 대중의 눈에 잘 알려지게 되었습니다. Chainsource 보안 팀은 보안을 실시했습니다. 독자들이 세부 사항을 해석하고 버그 포상금 플랫폼의 존재를 더 잘 이해할 수 있도록 돕기 위해 이 유출에 대한 분석 및 부분적인 홍보를 진행합니다.
관련 정보
SEHNTU 퍼블릭 체인에서 OpenBounty가 비공개로 공개한 취약점 보고서 정보(이더리움 관련 제안은 현재 삭제되었습니다):
https://www.mintscan.io/shentu/proposals
https://explorer.shentu.technology/more/proposal
버그 현상금/구덩이 파기
온체인 세계의 취약성 현상금 플랫폼은 기존 네트워크 보안의 구멍 파기 플랫폼과 매우 유사합니다. 두 가지 모두의 주요 목적은 보안 연구원과 화이트 해커가 보상 메커니즘을 통해 시스템의 취약성을 찾아 보고하도록 유도하는 것입니다. , 이로써 전반적인 보안이 향상됩니다.
해당 운영 모델은 타임라인에서 다음과 같습니다.
(1) 프로젝트 출시 챌린지: 블록체인 프로젝트이든 기존 네트워크 애플리케이션이든 버그 포상금 프로그램이 플랫폼에 출시됩니다.
(2) 취약점 보고서: 보안 연구원 및 해커가 프로젝트 코드나 시스템을 탐지하고 취약점을 발견한 후 자세한 보고서를 제출합니다.
(3) 검증 및 복구: 프로젝트팀은 보고서의 취약점을 검증하고 복구한다.
(4) 보상 분배: 수리가 완료된 후, 발견자는 취약점의 심각도와 범위에 따라 상응하는 보상을 받게 됩니다.
전통적인 네트워크 보안은 주로 웹 애플리케이션, 서버, XXS[1], SQL 주입[2], CSRF[3] 등과 같은 네트워크 장비와 같은 전통적인 IT 취약점에 중점을 둡니다.
블록체인 보안은 Sybil 공격[4], 크로스체인 공격[5], 비정상적인 외부 호출 등과 같은 스마트 계약, 프로토콜 및 암호화된 지갑에 더 많은 관심을 기울입니다.
주요 취약점 보고서
OpenBounty가 규정을 위반하여 발표한 취약점 보고서 33번은 CertiK의 SHENTU 체인에 대한 감사 및 침투 테스트입니다. 제안서에서 우리는 이 보안 테스트가 주로 SHENTU 내의 보안 취약점 및 인증 제한을 해결한다는 것을 알 수 있습니다.
그런데 SHENTU의 소스코드를 읽어보니 CertiK의 접두사가 SHENTU의 접두사로 대체된 부분이 있었습니다. 하지만 이는 사람들에게 CertiK 심판이자 선수가 되는 느낌을 줍니다.
SEHNTU가 삭제하지 않은 나머지 32개의 취약점 보고서에는 취약점 업데이트 이후의 문제 설명, 투표 당사자, 보상 설명 및 각 시스템의 코드까지 볼 수 있습니다. 이러한 정보의 무단 공개로 인해 이러한 취약점이 쉽게 발생할 수 있습니다. 각 시스템에는 개발 과정에서 몇 가지 역사적 문제나 고유한 코딩 습관이 있기 때문에 해커의 경우 실제로 이 정보를 활용할 여지가 많습니다.
명사 해석
[1]XXS: 공격자는 웹페이지에 악성 스크립트를 주입하여 사용자가 웹페이지를 탐색할 때 스크립트가 실행되도록 합니다. 여기에는 주로 반영된 XSS, 저장된 XSS, DOM 형태의 XSS가 포함됩니다.
[2]SQL 인젝션(SQL 인젝션): 악성 SQL 코드를 입력 필드(양식, URL 매개변수 등)에 삽입한 후 데이터베이스에 전달하여 실행하는 공격 방법입니다. 이러한 공격은 데이터베이스 데이터 유출, 수정, 삭제로 이어질 수 있으며, 심지어 데이터베이스 서버에 대한 통제권을 얻을 수도 있습니다.
[3] CSRF: 사용자의 인증된 세션을 사용하여 신뢰할 수 있는 사이트에 승인되지 않은 요청을 보내는 공격 방법입니다. 공격자는 사용자가 특수 제작된 웹 페이지를 방문하도록 유도하거나 링크를 클릭하여 사용자가 모르는 사이에 송금, 개인 정보 수정 등의 작업을 수행합니다.
[4]Sybil 공격: 분산 네트워크에서 공격자는 네트워크의 의사 결정 프로세스를 조작하기 위해 여러 개의 가짜 ID(노드)를 생성합니다. 공격자는 다수의 가짜 노드를 생성하여 합의 알고리즘에 영향을 미치고 이를 통해 거래 확인을 제어하거나 합법적인 거래를 차단합니다.
[5] 크로스체인 공격: 공격자는 폴리 네트워크 크로스체인 브리지 공격과 같은 크로스체인 트랜잭션 요청을 조작하여 계약의 보안 검사를 우회하고 크로스체인 트랜잭션 데이터를 훔치거나 변조할 수 있습니다.
결론
일반적으로 OpenZepplin과 HackenProof가 지적한 것처럼 버그 포상금 관리는 게시자의 허가를 받아야 합니다. 이는 많은 독립 개발자의 성과의 기초이기도 한 법적, 직업적 윤리 문제입니다.
Chainyuan Technology는 블록체인 보안에 주력하는 회사입니다. 우리의 핵심 업무에는 블록체인 보안 연구, 온체인 데이터 분석, 자산 및 계약 취약성 구조가 포함되며, 개인과 기관을 위해 도난당한 많은 디지털 자산을 성공적으로 복구했습니다. 동시에 우리는 업계 조직에 프로젝트 안전 분석 보고서, 온체인 추적성 및 기술 컨설팅/지원 서비스를 제공하기 위해 최선을 다하고 있습니다.
읽어주셔서 감사합니다. 앞으로도 블록체인 보안 콘텐츠에 집중하고 공유하겠습니다.
