Jump Crypto обнаружила серьезную уязвимость. Она могла позволить злоумышленнику-валидатору скомпрометировать всю сеть. А также связанные с ней приложения. Причем воздействие затронуло бы и широко используемый Celer cBridge. А там, кто не в курсе, показатель TVL уже превышает 130 миллионов долларов.
Jump Crypto: вредоносные валидаторы Celer
В недавней разработке Jump Crypto, ведущая фирма по обеспечению безопасности блокчейна, обнаружила критическую уязвимость в сети Celer State Guardian Network (SGN), блокчейне, предназначенном для обеспечения межцепочечной связи. Этот недостаток безопасности представлял значительный риск. Поскольку он мог позволить злоумышленнику-валидатору скомпрометировать всю сеть State Guardian Network. И заодно все связанные с ней приложения. В том числе и широко используемый Celer cBridge. Как уже говорилось, на данный момент общая заблокированная стоимость его в настоящее время оценивается в $130 млн.
Jump Crypto незамедлительно сообщил об уязвимости команде Celer. И она оперативно приняла меры для решения проблемы. К счастью, до устранения уязвимости не было обнаружено ни одного случая злонамеренной эксплуатации.
Продукты Celer для межцепочечной связи и мостов основаны на сети State Guardian Network (SGNv2). Та в свою очередь основана на блокчейне Cosmos Proof of Stake (PoS ). Валидаторы в SGN отслеживают внутрицепочные контракты Celer на предмет входящих сообщений или переводов. И облегчают их выполнение в цепочке назначения.
В то время как смарт-контракты крупных провайдеров мостов проходят тщательную проверку, благодаря их природе с открытым исходным кодом и программам вознаграждения за ошибки, такого же уровня проверки часто не хватает для компонентов вне сети.
Celer, как и другие поставщики мостов, полагается на реализации с закрытым исходным кодом. А также на централизованные компоненты для операций вне сети, которые могут не подпадать под те же программы вознаграждения за ошибки. Этот пробел в мерах безопасности может сделать эти системы уязвимыми.
Меры безопасности от Celer
К их чести, Celer внедрил меры глубокой защиты для снижения рисков, связанных с этой уязвимостью. Исходящие переводы крупной суммы намеренно задерживаются. А механизм VolumeControl ограничивает извлечение токенов в короткие сроки. Кроме того, назначенные адреса-валидаторы могут приостанавливать основные контракты Celer, вызывая экстренную остановку в случае недостаточного обеспечения, вызванного злонамеренными переводами.
Несмотря на эти меры безопасности, важно отметить, что встроенные механизмы Celer в первую очередь защищают его бридж-контракты. В результате децентрализованные приложения (dApps), созданные на основе межсетевой системы обмена сообщениями Celer, остаются уязвимыми. И сейчас Celer активно изучает потенциальные решения решения этой проблемы.
