Firma zajmująca się bezpieczeństwem blockchain SlowMist opublikowała analizę opisującą lukę w implementacji portfela Qubic, która w określonych warunkach mogłaby pozwolić atakującemu na odtworzenie klucza prywatnego na podstawie zaledwie sześciu obserwacji. Odkrycie budzi obawy wśród użytkowników dotkniętego oprogramowania portfela i podważa założenia kryptograficzne leżące u podstaw procesu obsługi kluczy.

Zgodnie z raportem SlowMist luka dotyczy warunku, przy którym klucz prywatny może zostać odtworzony przez atakującego zbierającego sześć obserwacji. SlowMist przypisało odkrycie własnemu zespołowi badawczemu i scharakteryzowało je jako lukę na poziomie portfela, a nie wadę samej sieci Qubic. Opublikowane ustalenia firmy nie potwierdziły faktycznego wykorzystania exploita.

Dlaczego sześć obserwacji definiuje główną ryzyka

Istota progu sześciu obserwacji tkwi w tym, co oznacza on dla procesu generowania kluczy lub podpisywania w portfelu. Klucz prywatny jest jedynym poświadczeniem dającym dostęp do środków w portfelu. Oprogramowanie portfela to warstwa, w której klucze są generowane, przechowywane i używane do podpisywania transakcji — dlatego wady implementacji na tym poziomie przyciągają szczególną uwagę badaczy bezpieczeństwa. Jeśli klucz można odzyskać na podstawie ograniczonej liczby obserwowalnych wyników, praktyczna bariera przed atakującym znacząco maleje.

Ta klasa słabości różni się od ataków siłowych, które wymagają wyczerpujących obliczeń, ponieważ sprowadza zadanie atakującego do zebrania niewielkiej liczby punktów danych. Analiza SlowMist wskazała sześć obserwacji jako deklarowany warunek wystarczający do umożliwienia odzyskania klucza.

Firma wcześniej sygnalizowała luki o wąskich warunkach w innych protokołach. W jednym z wcześniejszych przypadków SlowMist zgłosiło stratę 59 800 USD w systemie inteligentnego portfela typu Argent, gdzie atakujący wykorzystał konkretny warunek kontraktu do opróżnienia środków. Ten wzorzec odzwierciedla koncentrację firmy na subnych wadach implementacji, a nie na wielkoskalowych atakach na infrastrukturę.

Ważne szczegóły techniczne pozostają nieokreślone w zeszycie badawczym. Rodzaj wymaganych obserwacji, stosowany schemat podpisu kryptograficznego oraz to, czy obserwacje muszą być zbierane on-chain czy off-chain, nie zostały szczegółowo opisane w dostępnych materiałach. Czytelnicy nie powinni zakładać żadnego konkretnego przebiegu ataku, dopóki oficjalna dokumentacja techniczna od SlowMist lub projektu Qubic nie wyjaśni tych kwestii.

Konsekwencje dla użytkowników i deweloperów portfela Qubic

Dla użytkowników portfela zgłoszone odkrycie niesie prostą konsekwencję: ujawnienie klucza prywatnego to najbardziej poważny możliwy skutek luki w portfelu, ponieważ daje atakującemu pełną i nieodwracalną kontrolę nad powiązanymi środkami. W przeciwieństwie do exploita inteligentnego kontraktu, który może dotyczyć wyłącznie aktywów na poziomie protokołu, odzyskanie klucza prywatnego obejmuje wszystkie aktywa przechowywane w skompromitowanym portfelu.

SlowMist nie wskazało, które konkretne wersje portfela, implementacje oprogramowania ani grupy użytkowników mieszczą się w zakresie tej luki. Dostępne materiały badawcze nie potwierdzają, czy wydano poprawkę, czy projekt Qubic został powiadomiony w ramach skoordynowanego procesu ujawniania ani czy stracił jakiejkolwiek środki użytkowników. Skoordynowane ujawnianie — praktyka prywatnego zgłaszania wady dotkniętemu projektowi, aby poprawka mogła zostać przygotowana przed opublikowaniem informacji lub razem z nim — jest powszechną normą w badaniach bezpieczeństwa kryptowalut, a jej status w tym przypadku pozostaje częścią otwartych ustaleń.

Niepewność ta przypomina wcześniejsze odkrycie SlowMist, w którym firma zgłosiła stratę 5,08 ETH w Set Protocol spowodowaną błędem obliczeniowym — przypadek w którym zakres był podobnie wąski, ale wpływ finansowy był rzeczywisty.

Deweloperzy budujący na funkcjonalności portfela Qubic lub ją integrujący powinni potraktować zgłoszony warunek odzyskania klucza z sześciu obserwacji jako bodziec do audytu implementacji generowania kluczy i podpisywania pod kątem wszelkich źródeł obserwowalnego wycieku danych. SlowMist nie określiło publicznie ścieżki naprawczej w materiałach przejrzanych na potrzeby tego raportu.

Dorobek SlowMist w ujawnianiu luk w portfelach

SlowMist to firma zajmująca się bezpieczeństwem blockchain z siedzibą w Chinach, która regularnie publikuje analizy luk i raporty porealizacyjne dotyczące wielu łańcuchów i implementacji portfeli. Jej opublikowane badania obejmują wady logiki inteligentnych kontraktów oraz słabości implementacji kryptograficznych. W odrębnym przypadku firma zgłosiła stratę 86 000 USD w tokenach UNCX przypisaną błędowi VestingManager, ponownie ilustrując swój wzorzec identyfikowania i ujawniania konkretnych, ograniczonych luk w systemach produkcyjnych.

Odkrycie dotyczące portfela Qubic wpisuje się w ten model ujawniania. SlowMist przypisało analizę własnym badaniom i przedstawiło ją jako ryzyko bezpieczeństwa dla dotkniętych użytkowników, powstrzymując się od twierdzenia o potwierdzonym wykorzystaniu. Czy zespół deweloperski Qubic uznał lukę lub wydał poprawkę, pozostaje niepotwierdzone w dostępnych materiałach.

Do czasu otrzymania oficjalnych wytycznych od SlowMist lub projektu Qubic użytkownicy portfeli powinni podchodzić ostrożnie do każdego systemu wskazanego w analizie, unikać wystawiania operacji podpisywania w niezaufanych środowiskach oraz śledzić oficjalne kanały projektu Qubic w poszukiwaniu skoordynowanego biuletynu bezpieczeństwa, a także ewentualnej kolejnej dokumentacji technicznej określającej obserwacje i stosowany schemat podpisu.

Zastrzeżenie: Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Czytelnicy powinni przeprowadzić własne badania przed podjęciem decyzji.