Ciertas carteras multifirma (multisig) pueden ser explotadas por aplicaciones Web3 que utilizan el protocolo Starknet, según un comunicado de prensa del 9 de marzo proporcionado a Cointelegraph por el desarrollador de carteras Multi-Party Computation (MPC) Safeheron. La vulnerabilidad afecta a las billeteras MPC que interactúan con aplicaciones Starknet como dYdX. Según el comunicado de prensa, Safeheron está trabajando con los desarrolladores de aplicaciones para corregir la vulnerabilidad.
De acuerdo con la documentación del protocolo de Safeheron, las instituciones financieras y los desarrolladores de aplicaciones Web3 a veces utilizan las billeteras MPC para proteger los activos criptográficos que poseen. Al igual que una billetera multisig estándar, exigir múltiples firmas para cada transacción. Pero a diferencia de los multigrados estándar, no requieren que se implementen contratos inteligentes especializados en la cadena de bloques, ni tienen que integrarse en el protocolo de la cadena de bloques.
En cambio, estas billeteras funcionan generando "fragmentos" de una clave privada, y cada fragmento está en manos de un firmante. Estos fragmentos deben unirse fuera de la cadena para producir una firma. Debido a esta diferencia, las billeteras MPC pueden tener tarifas de gas más bajas que otros tipos de multisigs y pueden ser independientes de blockchain, según los documentos.
Las billeteras MPC son a menudo visto como más seguro que las billeteras de una sola firma, ya que un atacante generalmente no puede piratearlas a menos que comprometa más de un dispositivo.
Sin embargo, Safeheron afirma haber descubierto una falla de seguridad que surge cuando estas billeteras interactúan con aplicaciones basadas en Starknet como dYdX y Fireblocks. Cuando estas aplicaciones "obtienen una firma de clave stark y/o una firma de clave api", pueden "eludir la protección de seguridad de las claves privadas en las billeteras MPC", dijo la compañía en su comunicado de prensa. Esto puede permitir que un atacante realice pedidos, realice transferencias de capa 2, cancele pedidos y participe en otras transacciones no autorizadas.
Relacionado: La nueva estafa de "transferencia de valor cero" está dirigida a los usuarios de Ethereum
Safeheron dio a entender que la vulnerabilidad solo filtra las claves privadas de los usuarios al proveedor de la billetera. Por lo tanto, siempre que el proveedor de la billetera no sea deshonesto y no haya sido tomado por un atacante, los fondos del usuario deberían estar seguros. Sin embargo, argumentó que esto hace que el usuario dependa de la confianza en el proveedor de la billetera. Esto puede permitir a los atacantes eludir la seguridad de la billetera atacando la propia plataforma, como explicó la compañía:
“La interacción entre las billeteras MPC y dYdX o dApps [aplicaciones descentralizadas] similares que utilizan claves derivadas de firmas socava el principio de autocustodia de las plataformas de billetera MPC. Los clientes pueden eludir las políticas de transacción predefinidas, y los empleados que han dejado la organización aún pueden conservar la capacidad de operar la dApp”.
La compañía dijo que está trabajando con los desarrolladores de aplicaciones Web3 Fireblocks, Fordefi, ZenGo y StarkWare para reparar la vulnerabilidad. También ha informado a dYdX sobre el problema, dijo. A mediados de marzo, la compañía planea hacer que su protocolo sea de código abierto en un esfuerzo por ayudar aún más a los desarrolladores de aplicaciones a corregir la vulnerabilidad.
Cointelegraph ha intentado ponerse en contacto con dYdX, pero no ha podido obtener una respuesta antes de la publicación.
Avihu Levy, Jefe de Producto de StarkWare, le dijo a Cointelegraph que la compañía aplaude el intento de Safeheron de crear conciencia sobre el problema y ayudar a proporcionar una solución, afirmando:
“Es fantástico que Safeheron esté abriendo un protocolo que se centre en este desafío […] Animamos a los desarrolladores a abordar cualquier desafío de seguridad que pueda surgir con cualquier integración, por limitado que sea su alcance. Esto incluye el desafío que se está discutiendo ahora.
red estelar es una capa 2 Protocolo Ethereum que utiliza pruebas de conocimiento cero para asegurar la red. Cuando un usuario se conecta por primera vez a una aplicación Starknet, obtiene una clave STARK usando su billetera Ethereum ordinaria. Es este proceso el que Safeheron dice que está dando como resultado claves filtradas para billeteras MPC.
Starknet intentó mejorar su seguridad y descentralización en febrero al código abierto de su probador.
Fuente: https://cointelegraph.com/news/multisig-wallets-vulnerable-to-exploitation-by-starknet-apps-says-developer-safeheron