Papír Pentagonu varuje před hlavními zranitelnostmi v bitcoinovém blockchainu

Vzhledem k tomu, kryptoměnný průmysl pokračuje v expanzi a stává se stále atraktivnějším cílem pro hackery, zadal Pentagon studii, která odhalila některé zranitelnosti, podrobně popsané v doprovodné zprávě.

Zpráva publikovaná 21. června s názvem „Jsou blockchainy decentralizované? Nezamýšlené centrality v distribuovaných účetních knihách“ zjistil, že „podmnožina účastníků může získat nadměrnou centralizovanou kontrolu nad celým systémem“.

Studie, která se zaměřuje na bitcoiny (BTC) a Ethereum (ETH), provedla bezpečnostní výzkumná firma Trail of Bits pod vedením Agentury pro pokročilé obranné výzkumné projekty Pentagonu (DARPA).

Podle zprávy:

„Počet entit postačujících k narušení blockchainu je relativně nízký: čtyři pro bitcoiny, dva pro Ethereum a méně než tucet pro většinu sítí PoS. 

60 % bitcoinového provozu prochází pouze 3 ISP

Kromě toho zpráva uvádí, že „ze veškerého bitcoinového provozu 60 % prochází pouze třemi poskytovateli internetových služeb“, s odkazem na poskytovatele internetových služeb. Kromě toho „zdá se, že drtivá většina bitcoinových uzlů se neúčastní těžby a provozovatelé uzlů nečelí žádné výslovné pokutě za nepoctivost“.

Jak varují analytici, „nasazení nového uzlu vyžaduje pouze jednu levnou instanci cloudového serveru – není potřeba žádný specializovaný těžební hardware.“ To umožňuje zaplavit konsenzuální síť blockchainu novými, zákeřnými uzly řízenými jedinou stranou v tom, co se nazývá útok Sybil.

Mezi další problémy patří zastaralé a nešifrované protokoly a software, které všechny vystavují síť útokům. Jak zpráva vysvětluje:

"Bezpečnost blockchainu závisí na zabezpečení softwaru a protokolů jeho mimořetězového řízení nebo mechanismů konsenzu."

Neopatrné těžební bazény

Zpráva také zjistila, že všechny těžební fondy, které její analytici testovali, „buď přiřadili pevně zakódované heslo pro všechny účty, nebo jednoduše neověřili heslo poskytnuté během ověřování.

Jako příklad zpráva použila praxi globálního fondu pro těžbu kryptoměn ViaBTC, kdy se zdánlivě přiřazovalo heslo „123“ všem jeho účtům. Jiná těžařská firma, Poolin, „zdá se, že vůbec neověřuje ověřovací údaje“, zatímco Slushpool „výslovně nařizuje svým uživatelům, aby pole hesla ignorovali“.

Podle dostupných údajů tvoří tyto tři těžební pooly asi 25 % bitcoinového hashratu.

Kybernetická bezpečnost výzkumníci často varují před potenciálními slabinami souvisejícími s kryptoměnami, které mohou vést k incidentům, jako je tento finbold hlášeno v polovině dubna, ve kterém an útočníkovi se podařilo ukrást celou sbírku člověka kryptoměn a nezaměnitelných tokenů (NFT) v hodnotě více než 650,000 XNUMX $ z jejich MetaMask krypto peněženka.