Kiểm toán ZK tăng tỷ lệ phát hiện các vấn đề nghiêm trọng lên gấp đôi

Updated: 23/07/2024 at 6:30

Công ty bảo mật blockchain Veridise đã báo cáo việc kiểm toán các dự án zero-knowledge (ZK)* có khả năng phát hiện vấn đề nghiêm trọng cao gấp đôi so với các loại kiểm toán khác.

Phân tích 1.605 phát hiện lỗ hổng từ 100 cuộc kiểm toán gần đây nhất, Veridise đã tìm thấy trung bình khoảng 16 vấn đề trong mỗi cuộc kiểm toán, với mức trung bình kiểm toán ZK cao hơn một chút là 18 vấn đề được phát hiện.

Tuy nhiên, khi tập trung vào các lỗ hổng nghiêm trọng, Veridise nhận thấy 55% (11 trên 20) cuộc kiểm toán ZK tìm thấy vấn đề nghiêm trọng so với 27,5% (22 trên 80) các cuộc kiểm toán khác, bao gồm hợp đồng thông minh, tích hợp ví, triển khai blockchain và relayer.

Các giao thức ZK đã và đang thu hút được sự chú ý trong không gian tiền điện tử nhờ tiềm năng nâng cao quyền riêng tư và khả năng mở rộng trong các giao dịch blockchain. Chúng cho phép một bên chứng minh cho bên kia rằng tuyên bố là đúng mà không tiết lộ bất kỳ thông tin nào ngoài giá trị của chính tuyên bố đó.

Tuy nhiên, theo Veridise, bảo mật ZK “thách thức hơn”, khi các cuộc kiểm toán phát hiện ra nhiều lỗ hổng nghiêm trọng hơn do cấu trúc mật mã phức tạp và tính chất đổi mới của các giao thức ZK, thường vượt qua ranh giới của các kỹ thuật mã hóa hiện có.

Jon Stephens, CEO và đồng sáng lập của Veridise, nói:

“Việc phát triển mạch ZK đòi hỏi phải có lý luận chính xác về ngữ nghĩa của các hoạt động trong trình tạo nhân chứng. Khi những ngữ nghĩa đó không được mã hóa chính xác thành các ràng buộc, bạn sẽ gặp lỗi. Điều hợp lý là có nhiều lỗi hơn trong các mạch vì nó rất khác với mô hình lập trình thông thường”.

Các lỗ hổng DeFi phổ biến nhất

Công ty cho biết, nhìn chung, lỗ hổng phổ biến nhất mà các cuộc kiểm toán của Veridise phát hiện là lỗi logic (385), khả năng bảo trì (355) và xác thực dữ liệu (304), chiếm 65% tất cả các vấn đề được tìm thấy trong các cuộc kiểm toán. Ba vấn đề này cũng chiếm ưu thế trong số các lỗ hổng dành riêng cho kiểm toán 360 ZK.

Mặc dù các vấn đề về khả năng bảo trì không hẳn là lỗ hổng bảo mật nghiêm trọng, chẳng hạn như thực hành code hóa kém, nhưng đôi khi chúng “chỉ còn cách một chút nữa là có thể trở thành lỗi nghiêm trọng”.

Trong số 223 loại sự cố nghiêm trọng (nghiêm trọng hoặc cao hơn) bị phát hiện, các lỗ hổng lỗi logic (91) và xác thực dữ liệu (35) chiếm ưu thế, tiếp theo là “mạch không bị giới hạn” (19), Từ chối dịch vụ (DoS)(16) và kiểm soát truy cập (13),… Khoảng 78% các vấn đề có mức độ nghiêm trọng cao trong tất cả các cuộc kiểm toán chỉ liên quan đến 5 loại này, chiếm 174 lỗ hổng bị phát hiện.

Các lỗ hổng dành riêng cho kiểm toán ZK

Theo Veridise, mặc dù các sự cố nghiêm trọng chiếm khoảng 10% đến 30% hầu hết các loại lỗ hổng bảo mật, nhưng “các mạch không đầy đủ ràng buộc” có 90% khả năng chứa các sự cố nghiêm trọng hoặc cao hơn.

“Các mạch không đầy đủ ràng buộc là các vấn đề điển hình, đặc biệt trong các cuộc kiểm toán liên quan đến ZK… khi các ràng buộc của mạch số học không thực thi đầy đủ tất cả các điều kiện cần thiết để kiểm tra xem một số tính toán có được thực hiện chính xác hay không. Chúng không xảy ra trong các hợp đồng thông minh truyền thống”.

Điều này có nghĩa là một bên độc hại có thể tạo bằng chứng đánh lừa người xác minh chấp nhận một tuyên bố sai là đúng, làm suy yếu nghiêm trọng tính toàn vẹn của giao thức.

Trong các cuộc kiểm toán của Veridise, công nghệ ZK thường được sử dụng trong các giao thức cơ sở hạ tầng quan trọng như rollup ZK L2, ZK-VM và thư viện Circom — trong đó Veridise đã xác định một lỗi ZK “triệu đô la” cho Succinct Labs vào tháng 1. Tính bảo mật của các giao thức này rất quan trọng vì nó ảnh hưởng đến tất cả các ứng dụng phi tập trung được xây dựng trên đó.

Phân tích các loại vấn đề khác, lỗi logic xảy ra khi code không thực hiện chức năng dự định do lỗi trong luồng logic. Một ví dụ điển hình là hợp đồng thông minh cho phép người dùng rút nhầm số tiền vượt quá số dư của họ.

Các vấn đề xác thực dữ liệu là không xác minh đúng tính chính xác, tính toàn vẹn và tính xác thực của dữ liệu trước khi xử lý.

Vấn đề DoS thường liên quan đến các cuộc tấn công nhằm phá vỡ hoạt động bình thường của giao thức. Ví dụ, hợp đồng thông minh có thể được thiết kế nhầm để cho phép kẻ tấn công tiêu thụ hết lượng gas có sẵn.

Cuối cùng, vấn đề kiểm soát truy cập là vấn đề trong đó người dùng trái phép có thể truy cập vào các khu vực hoặc chức năng bị hạn chế.

Veridise tuyên bố hơn 10 tỷ đô la đã bị hack từ nhiều nền tảng blockchain và DeFi khác nhau kể từ năm 2018, nên cần chỉ rõ các loại lỗ hổng cần thiết để giúp hướng sự chú ý của các dự án Web3 tới các lỗi nghiêm trọng nhất và chủ động ngăn chặn.

zk

Số tiền bị các kẻ tấn công DeFi đánh cắp | Nguồn: The Block

Theo trang web của công ty, Manta Network, Scroll và Ankr là một trong những khách hàng kiểm toán của công ty.

*Zero-knowledge (ZK) ám chỉ một loại giao thức trong đó một bên có thể chứng minh cho bên kia rằng một tuyên bố là đúng mà không cần tiết lộ bất kỳ thông tin nào khác ngoài tính xác thực của tuyên bố đó.

Tham gia Telegram của Tạp Chí Bitcoin: https://t.me/tapchibitcoinvn

Theo dõi Twitter (X): https://twitter.com/tapchibtc_io

Theo dõi Tiktok: https://www.tiktok.com/@tapchibitcoin

Minh Anh

Theo The Block

Được đề cập trong bài viết
Bình luận
Mới cập nhật

Celestia (TIA) vừa ghi dấu một trong những cú bứt phá ấn tượng nhất thị trường trong 24 giờ qua, với mức tăng 2,4% — bất chấp bối cảnh tâm lý tiêu cực đã khiến coin này mất tới 26% giá trị trong những tuần gần đây. Đáng chú ý,... ...

Các lãnh đạo Đảng Cộng hòa đã công bố rằng “Tuần lễ tiền điện tử” sẽ bắt đầu vào ngày 14 tháng 7, nhằm thu hút sự chú ý của Quốc hội đối với ba dự luật liên quan đến Web3. Những dự luật này đang ở các giai đoạn... ...

Trong vòng 24 giờ qua, Hyperliquid (HYPE) tiếp tục thể hiện đà tăng ấn tượng khi bật lên 6,58%, chính thức giành lại mốc $40 sau một nhịp điều chỉnh ngắn. Tín hiệu từ phân tích tâm lý thị trường cho thấy dòng tiền đang có xu hướng quay trở... ...

Bonk (BONK) đã có cú bật mạnh mẽ, tăng 21,22% sau khi chạm đáy gần nhất tại mức $0,000013, leo lên đỉnh cục bộ $0,0000175 vào thời điểm viết bài. Song song với đà tăng giá, khối lượng giao dịch của memecoin này cũng bùng nổ tới 332%, vọt lên... ...

Theo ghi chú nghiên cứu của Matt Mena, chiến lược gia nghiên cứu crypto tại 21Shares, dữ liệu việc làm của Hoa Kỳ vào tháng 6 đã vượt quá dự báo, tạo ra bối cảnh vĩ mô có thể đưa Bitcoin (BTC) vượt mốc $200.000. Bộ Lao động báo cáo... ...

Thị trường crypto đã chứng kiến ​​sự phục hồi trong tuần qua, với một số altcoin đảo chiều từ mức thấp gần đây. Khi giá Bitcoin ổn định và khối lượng giao dịch phục hồi, các lĩnh vực ngách như Tài sản trong thế giới thực (RWA) đang bắt đầu... ...

Giá Shiba Inu (SHIB) đã bật tăng 7% chỉ trong 24 giờ qua, chính thức thoát khỏi xu hướng giảm kéo dài nhiều tháng từng khiến nhà đầu tư lao đao. Đà phục hồi này thổi luồng sinh khí mới vào thị trường, mang theo kỳ vọng về một chu... ...

Ethereum (ETH) tăng 9% từ thứ Ba đến thứ Năm nhưng không vượt qua được mốc $2.600. Khi giá tăng, các nhà phân tích chỉ ra mô hình kỹ thuật tăng giá được gọi là “golden cross” có thể đẩy ETH lên $3.200, mức gần nhất từng đạt được vào... ...

Cổ phiếu các công ty khai thác bitcoin đã ghi nhận mức tăng đáng kể trong tuần qua, bất chấp đợt điều chỉnh vào thứ Năm, nhờ các tín hiệu tích cực từ môi trường kinh tế vĩ mô, củng cố câu chuyện “hạ cánh mềm” của Cục Dự trữ... ...

Bo Hines, Giám đốc Điều hành của Ủy ban Tư vấn Tài sản Kỹ thuật số Hoa Kỳ, đã công bố rằng việc ban hành luật về stablecoin có khả năng thúc đẩy ngành công nghiệp tiền điện tử đạt quy mô thị trường từ 15 đến 20 nghìn tỷ... ...

Xem thêm bài viết
Chọn chế độ hiển thị:
Bình thường Bảo vệ mắt Dark Mode