Security Research Labs cảnh báo về rủi ro bảo mật mạng Ethereum

[MrSpasybo]

Toàn bộ mạng Ethereum có thể phải đối mặt với mối đe dọa của một cuộc tấn công 51% cho một số máy khách mà vẫn chưa được vá, theo một báo cáo gần đây từ Security Research Labs, viện chính sách tư vấn và nghiên cứu về hack. Điều này là do toàn bộ 1/3 node Ethereum Parity chưa áp dụng bản vá bảo mật quan trọng một tháng sau khi nó được xuất bản.

Kiểm soát hơn một nửa sức mạnh tính toán trên mạng, còn được gọi là tấn công 51%, có nghĩa là một tác nhân độc hại có thể ghi đè các quyết định của những người tham gia mạng khác, cho phép họ chi tiêu gấp đôi số tiền, và những mối lo ngại khác. Các node mà sử dụng phần mềm máy khách Parity để truy cập mạng Ethereum chưa cập nhật thì khách của họ có thể bị sập từ xa do lỗi trong hệ thống. Theo Security Research Labs, kể từ khi một bản vá được phát hành cho lỗi này, chỉ có 2/3 tất cả các node Parity đã được cập nhật.

“Một tháng sau thông báo này [được thực hiện vào tháng 02/2019], chúng tôi đã sử dụng dữ liệu từ Ethernodes.org để đánh giá tính bảo mật của cảnh quan node Ethereum và thấy rằng khoảng 40% tất cả các node Parity Ethereum được quét, chiếm 15% trong số tất cả các node được quét , vẫn chưa được vá và do đó dễ bị tấn công. Một bản vá khác được phát hành vào ngày 02/03/ 2019 đạt khoảng 70% các node Parity Ethereum, vẫn còn 30% các node lỗi thời khác”, họ báo cáo.

Báo cáo tiếp tục bổ sung rằng cần có các cơ chế cập nhật đáng tin cậy hơn, mà họ đề xuất sử dụng tính năng cập nhật tự động – một thứ mà Parity có, nhưng nó lại bị phức tạp hóa và một số cập nhật bị bỏ qua. Khi sử dụng cài đặt mặc định cho Parity, máy khách chỉ tải xuống các bản vá mà nó cho là quan trọng và ngưỡng cho điều đó dường như được đặt quá thấp.

Parity không phải là máy khách duy nhất có vấn đề này. Geth, một lựa chọn phổ biến khác của máy khách Ethereum, không có cơ chế cập nhật tự động này theo thiết kế, điều này cũng gây ra vấn đề cho họ: “Theo các tiêu đề được công bố của họ, khoảng 44% các node Geth có thể nhìn thấy tại ethernodes.org thấp hơn phiên bản v. 1.8.20, một bản cập nhật quan trọng về bảo mật, được phát hành hai tháng trước đo lường của chúng tôi”.

Tuy nhiên, báo cáo cho biết thêm rằng không phải tất cả các node đều đóng góp cùng một sức mạnh tính toán, do đó rủi ro có thể giảm đi, vì sức mạnh tính toán xuất hiện tập trung cao độ giữa một số lượng nhỏ các node. Nếu các node này được duy trì tốt, những người tham gia khác thực sự không cần quá lo lắng – nhưng rủi ro luôn đa dạng và không nên đánh giá thấp.

Đây không phải là lần đầu tiên mạng Ethereum đối mặt với rủi ro nghiêm trọng. Vào tháng 12/ 2018, một số giàn khai thác Ethereum đã bị tấn công do một cổng bị phơi bày khi rất có thể là do các miner đã mày mò mà không nhận thức được rủi ro.

Ngoài ra, ISE, một công ty tư vấn bảo mật có trụ sở tại Baltimore, Maryland, cho biết gần đây họ đã phát hiện ra 732 khóa riêng cũng như các khóa công khai tương ứng đã thực hiện 49,060 giao dịch cho blockchain Ethereum.

Theo: TapchiBTC