Bitcoin SV présente une grave vulnérabilité de sécurité dans ses adresses multi-signatures qui permet la perte des fonds stockés par ses utilisateurs.
Le célèbre développeur et co-fondateur de Blockstream, Gregory Maxwell, a publié sur son compte Reddit le resultados d'une enquête qu'il a menée sur portefeuilles multi-signature de Bitcoin SV, où il détaille comment divers bugs et vulnérabilités de sécurité permettent aux utilisateurs de perdre leurs fonds. Maxwell, qui sur Reddit est affiché comme utilisateur u/nullc, souligne que la bifurcation du criptomoneda Bitcoin SV (BSV) dès Bitcoin Cash (BCH), fait que plusieurs des caractéristiques techniques de Bitcoin (BTC) y Bitcoin Cash (BCH) sera détruit, ce qui provoque actuellement de graves erreurs de sécurité et la possible perte de fonds des utilisateurs.
« Bitcoin SV (BSV) est dérivé de Bitcoin Cash (BCH)… Ce faisant, il a détruit certaines des fonctionnalités clés de Bitcoin ; Maintenant, c'est pire."
Comme l'explique le développeur, les contrats multi-signatures Bitcoin SV ne garantissent plus la sécurité de ses utilisateurs, et entraînent actuellement la perte de tous les tokens BSV. De même, Maxwell souligne également que jusqu'à présent, les fonds des utilisateurs réels n'ont pas été affectés par l'erreur critique découverte, à l'exception de Shou qui a signalé la perte de 600 BSV.
Il peut vous intéresser: Produits Windows, iOS, Samsung et Google piratés lors de la compétition chinoise de la Coupe Tianfu
L'origine du problème
Apparemment, lorsque Bitcoin SV a été dérivé de Bitcoin Cash, les développeurs de la crypto-monnaie ont supprimé la fonctionnalité. P2SH (Payer au Script Hash), un type d'adresse spécial pour les transactions Bitcoin qui permet des signatures multiples, à partir du code source BSV, et ils l'ont remplacé par un «version pirate et faible» appel «accumulateur multisig» qui utilise des adresses avec un format similaire à ceux P2PKH (Payer au hachage de clé publique). De plus, Maxwell souligne que lors de ces modifications, les développeurs ont utilisé un certain nombre de signatures. "inférieur ou égal à" au lieu de "supérieur ou égal", ce qui a abouti à l'exploit actuel.
"Il me semble que plus ou moins égal a été utilisé au lieu de moins que ou égal pour votre comparaison finale, probablement en raison de la confusion de l'auteur quant à l'ordre des éléments dans la pile."
Le résultat est que ces scripts ne disposent pas d'une bonne sécurité, de sorte que les fonds peuvent facilement être dépensés par un script avec un plus petit nombre de signatures valides. Selon Maxwell, les développeurs n'ont pas effectué les tests appropriés et n'ont pas non plus vérifié le fonctionnement de leur produit avec suffisamment de signatures, comme prévu.
Manque de tests de base
L'appréciation de Maxwell est la suivante : Les développeurs ont uniquement testé si les transactions multi-signatures fonctionneraient avec le nombre de signatures requis pour envoyer les transactions, et non avec un nombre de signatures plus ou moins grand.. Ainsi, l'erreur critique entraîne l'échec des dépenses dans une transaction si un plus grand nombre de signatures minimales nécessaires est utilisé, et permet également le vol de fonds si un plus petit nombre de signatures, voire aucune, est utilisé.
D'un autre côté, le développeur déclare que s'il avait effectué les tests et vérifications de base, le problème aurait été résolu dès le début. Maxwell soutient que cette erreur critique peut être un bug accidentel et non quelque chose d'intentionnel ou prémédité par les développeurs.
Recommandations de sécurité
Tout d'abord, Maxwell souligne que les utilisateurs doivent être conscients et suffisamment confiants lorsqu'ils utilisent des scripts personnalisés, puisque ces types de « protocoles cryptographiques personnalisés » doivent être conçus avec le même soin que n'importe lequel des autres protocoles cryptographiques existants et connus, et que les utilisateurs doivent savoir pour éviter d'être victimes d'« escroqueries évidentes » ou de vulnérabilités qui mettent en danger la sécurité de leurs fonds.
En revanche, les développeurs d'Electrum SV, le portefeuille utilisé par Aaron Zhou, a publié sur son compte Twitter un avertissement aux utilisateurs, soulignant qu'ils ne doivent pas changer le type de script de leurs portefeuilles, et surtout, ne pas passer à "accumulateur multisig", car cela pourrait entraîner la perte de tous les fonds.
600 BSV perdus à cause de cet exploit
Roger Taylor, développeur Electrum VS, a publié un artículo où il rapporte qu'un utilisateur a perdu une grande quantité de jetons BSV, en raison du changement du type de script de son portefeuille multisig en script "accumulateur multisig", ce qui a entraîné le vol dont Aaron Zhou a été victime, avec lequel perdu 600 BSV dans une attaque qui exploitait cette faiblesse.
Taylor rapporte que la fonctionnalité « accumulateur multisig » est actuellement désactivée par défaut dans la version 1.3.7 d'Electrum SV. Enfin, les développeurs rappellent l’importance de la sécurité dans la mise en œuvre ou l’amélioration des codes. Dans le cas de Bitcoin SV, les modifications apportées au code de la cryptomonnaie ont été faites pour permettre des transactions rapides, critiquant le développement « lent et conservateur » du Bitcoin. Aujourd’hui, malheureusement, nombreux sont ceux qui se rendent compte qu’un développement rapide ne signifie pas exactement sécurité ; De graves erreurs comme celle-ci peuvent souvent être commises, qui sacrifient la sécurité au profit de la vitesse.
Continuer la lecture: L'utilisateur perd 1.400 XNUMX BTC stockés dans un portefeuille Electrum lors d'une attaque de phishing
