Un chercheur publie la vulnérabilité zero-day d'Ava Labs Avalanche, déclare que "l'intégralité du protocole est compromise"
Un chercheur en sécurité a publié des rapports sur une vulnérabilité zero-day dans AvalancheGo, une implémentation du protocole Avalanche d’Ava Labs. La vulnérabilité, a-t-il dit, permet de falsifier les clés privées des validateurs de réseau, « ce qui compromet essentiellement l’ensemble du protocole ».
Le chercheur James Edwards a déclaré qu’il publiait la vulnérabilité en public parce qu’Ava Labs – après avoir répondu à ses affirmations initiales publiées le 14 février sur Hackenproof avec une demande d’informations supplémentaires – n’avait pas répondu à ses rapports ultérieurs détaillant le problème et n’avait pas corrigé le logiciel.
Équipe ignorée. Il s’agit donc maintenant d’un guide sur la façon de récupérer les clés privées du validateur sur le réseau principal.
co/LVUTjZcfwo
« S’il y a quelqu’un qui utilise Avalanche au moment de la rédaction. mon meilleur conseil en tant qu’observateur et chercheur objectif serait de retirer tous les fonds que vous avez sur ce protocole dès que possible », a-t-il écrit.
Edwards a publié une longue description en quatre parties du fonctionnement de la vulnérabilité, notant qu’elle n’est présente que dans la mise en œuvre Golang du protocole Avalanche. Cela concerne la façon dont AvalancheGo utilise les « valeurs nonce » pour créer des signatures déterministes – bien que les signatures d’Avalanche soient en effet déterministes, une faille dans les fonctions utilisées pour itérer et produire des valeurs nonce pourrait potentiellement compromettre les validateurs.
AvalancheGo utilise une bibliothèque Decred (une autre blockchain) dans ce processus, générant des signatures basées sur la spécification RFC6979.
« Depuis qu’Avalanche a choisi de me sortir d’une prime de bogue de 10 000 $, j’ai choisi de publier cette recherche gratuitement au profit de la communauté », a-t-il déclaré dans son quatrième et dernier message le 19 février.
Avalanche est une blockchain consensuelle de preuve de participation (PoS) conçue pour exécuter des contrats intelligents et des applications décentralisées (dApps). Basé sur un protocole développé par Emin Gün Sirer et une équipe de collègues de l’Université Cornell. et Avalanche lui-même a été officiellement publié quelques mois plus tard.
En tant que blockchain PoS, Avalanche confirme les blocs en disposant d’un réseau de « validateurs » verrouillant les enjeux de son jeton natif, également appelé Avalanche (ou AVAX). Il a reçu 230 millions de dollars d’investissements de Polychain et de Three Arrows Capital (3AC), et aurait conclu des accords avec Deloitte et Amazon.
En août 2022, le projet s’est retrouvé mêlé au scandale des «Crypto Leaks» impliquant Kyle Roche, associé fondateur de Roche Freedman, le cabinet d’avocats qui représentait Ira Kleiman dans l’affaire de longue date Kleiman contre Wright qui cherchait en vain à extraire un grand pourcentage de Les premiers Bitcoins de Satoshi Nakamoto du Dr Craig S. Wright. Roche a affirmé dans des vidéos divulguées avoir utilisé des tactiques juridiques mercenaires pour accumuler des secrets commerciaux lors de la découverte et pour « éliminer » les concurrents d’Ava Labs, l’un des clients de l’entreprise, en échange d’une large attribution d’actifs AVAX. Sirer et Ava Labs ont nié les allégations d’actes répréhensibles, mais la société a ensuite été retirée d’un recours collectif contre Tether, et Roche lui-même a été licencié pour cette affaire. La firme s’appelle maintenant Freedman Normand Friedland.
La réponse d’Avalanche ?
Pour mémoire, un ingénieur logiciel senior d’Ava Labs a réfuté les affirmations concernant les vulnérabilités des processus de génération de nonce/signature d’Avalanche le 17 février. Cet article a été republié en réponse au tweet d’Edwards.
co/Xxi6xCp9sx
/li>
« Ava Labs travaille depuis longtemps avec des chercheurs en sécurité responsables et des reporters de primes de bogues dans l’ensemble de l’écosystème de sécurité », ont-ils écrit.
Edwards a écrit que les développeurs d’Ava Labs lui avaient envoyé « une réponse documentée longue » à ses revendications de vulnérabilité, bien que cette réponse ait indiqué que la bibliothèque d’AvalancheGo avait hérité de plusieurs fonctions de la version Decred « qu’en fait, ce n’était pas le cas ». Il l’a démontré en produisant des signatures en utilisant à la fois la bibliothèque Decred et AvalancheGo avec des résultats différents.
Il a noté que la description fonctionnait « en théorie » mais a ajouté, « cela n’a pas été exécuté en pratique par moi-même car cela va à l’encontre de mon code d’éthique personnel ».
Regarder : Conformité réglementaire de la loi et de l’ordre pour la blockchain et les actifs numériques
width= »562″ height= »315″ frameborder= »0″ allowfullscreen= »allowfullscreen »>
