Optimism розкриває критичну вразливість у Lagoon, яку було виправлено ще до введення в експлуатацію

Optimism розкрила критичну вразливість у своєму перед-Lagoon шляху повернення коштів через публікацію на форумі управління Optimism. Проблема стосувалася SDM verify path, який приймав підроблені payload’и повернення без повторного обчислення, створюючи ризик, що система може прийняти дані про повернення, яким вона не мала довіряти. Optimism виправила вразливість до того, як її було використано на будь-якому production chain, і без втрати коштів. Розкриття надає технічні деталі того, як цей недолік логіки повернення міг бути зловживаний, якби його не усунули, підкреслюючи важливість систем перевірки в Layer 2 інфраструктурі, де процеси повернення визначають вимоги до вартості та крос-системний облік.

Optimism пояснює важливість розкриття вразливостей до production

Розкриття Optimism належить до категорії серйозних проблем, які було виправлено до зловживань, а потім публічно пояснено. Вразливість класифікували як критичну, оскільки вона стосувалася логіки повернення коштів, шляхів перевірки та крос-системного обліку, де навіть невеликі припущення можуть перетворитися на великі втрати. У розкритті сказано, що проблему було виправлено до того, як Lagoon upgrade дійшов до production, і що коштів не втрачали. Для екосистем Layer 2 цей процес безпеки має значення, бо мережі на кшталт Optimism слугують середовищами для settlement і виконання, від яких залежать інші застосунки. Це означає, що критична проблема в базовій інфраструктурі може вплинути на багатьох користувачів і протоколи, якщо вона потрапить у production.

SDM verify path приймав підроблені payload’и повернення без повторного обчислення

Вразливість полягала в тому, що SDM verify path приймав підроблені payload’и повернення без повторного обчислення. Системи повернення коштів визначають, кому належить вартість, як перевіряються повернення та які повідомлення приймаються. Якщо система приймає підроблені payload’и, зловмисник може змусити протокол розпізнати вимоги, яких не мало б існувати. Перевірка має незалежно підтверджувати, яким має бути правильний результат, а не сліпо довіряти наданим даним. У розкритті пояснюється, що шлях повернення, який приймає підроблену інформацію, є серйозною проблемою, а також чітко зазначається, що виправлення сталося до зловживань у production.

Мережі Layer 2 стикаються зі зростаючою складністю безпеки

Мережі Layer 2 включають секвенсори, мости, fault proofs, шляхи оновлення, ролі управління, кросчейн обмін повідомленнями, системи fraud-proof, припущення щодо доступності даних і оновлення протоколів. Кожна нова функція може додати нові поверхні атаки. Lagoon upgrade від Optimism є частиною цієї ширшої еволюції. Розкриття ще до оновлення показує, що змінилося, що могло піти не так, і як команда впоралася з проблемою до ширшого розгортання. У розкритті сказано, що складні системи потребують постійного перегляду, адже робота з безпекою має розвиватися так само швидко, як і мережі.

Публічне розкриття допомагає безпековій освіті в екосистемі

Публічні розкриття можуть допомогти іншим командам перевірити подібні припущення, покращити власні шляхи перевірки та зрозуміти, як з’являються баги в складних процесах оновлення. Це особливо актуально для модульних і Layer 2 екосистем, де патерни дизайну часто повторюються. Розкриття Optimism надає деталі, які дозволяють екосистемі зрозуміти процес безпеки навколо вразливостей, виправлень і ризиків оновлень. Розкриття ґрунтується на інформації, оприлюдненій на форумі безпекового розкриття управління Optimism.

FAQ

Яку вразливість Optimism розкрила в інфраструктурі перед Lagoon?

Optimism розкрила критичну вразливість у SDM verify path, який приймав підроблені payload’и повернення без повторного обчислення. Проблема полягала в тому, що система потенційно могла прийняти дані про повернення, яким вона не мала довіряти, створюючи ризик у логіці повернення та крос-системному обліку.

Чи було використано вразливість Optimism на будь-якому production chain?

Ні. Optimism заявляє, що вразливість було виправлено до того, як її використали на будь-якому production chain, і що коштів не втрачали. Проблему виправили до того, як Lagoon upgrade потрапив у production.

Де Optimism опублікувала безпекове розкриття?

Optimism опублікувала розкриття на форумі управління Optimism. Розкриття надає технічні деталі про вразливість у перед-Lagoon шляху повернення та таймлайн виправлення.