CryptoJS-dəki Zəif Təsadüfi Ədəd Generatoru 5.7 Milyon Dollarlıq Kripto Pul Kisəsi Drenajlarına Səbəb Olub
13rose
2 min read
CryptoJS Kitabxanasında Ciddi Zəiflik Aşkar Edilib
Kibertəhlükəsizlik firması Coinspect, JavaScript kriptoqrafiya kitabxanası olan CryptoJS-də ciddi zəiflik aşkar edib. Bu boşluq, 12 il əvvəl təqdim edilmiş CryptoJS.lib.WordArray.random() funksiyasındakı zəif təsadüfi ədəd generatoru (RNG) ilə əlaqədardır və beş kripto pul kisəsi proqramından ümumilikdə 5.7 milyon dollarlıq vəsaitin drenajına səbəb olub.
Zəif Entropiya və Onun Təsirləri
Mütəxəssislər bildirirlər ki, adı çəkilən funksiya bərpa ifadələrinin (seed phrases) yaradılmasında istifadə olunan pul kisəsi proqramlarını təsir edən zəif entropiya təmin edib. Entropiya, təsadüfiliyin ölçüsüdür və onun zəif olması, yaradılan bərpa ifadələrinin asanlıqla təxmin edilə bilməsinə imkan yaradır. Bu isə, pis niyyətli şəxslər üçün istifadəçilərin kriptovalyuta aktivlərinə daxil olmaq üçün bir boşluq yaradır.
5.7 Milyon Dollarlıq Drenajlar və On-chain Analiz
Coinspect-in blokçeyn üzərində apardığı on-chain analizə görə, may ayının sonundan bəri baş vermiş iki böyük drenaj dalğasında ümumilikdə 5.7 milyon dollardan çox vəsait oğurlanıb. Təhlilçilər qeyd edirlər ki, bu rəqəm, problemin miqyasının yalnız aşağı həddini göstərir və potensial olaraq daha çox zərər çəkmiş pul kisəsi ola bilər. Ill Bloom pul kisəsi drenajları da bu zəifliklə əlaqələndirilir.
Təhlükəsizlik Dərsləri və Tövsiyələr
Bu boşluqdan təsirlənən konkret beş kripto pul kisəsi proqramının adları açıqlanmasa da, məsələnin ciddi təhlükə yaratdığı vurğulanır. Pul kisəsi proqramları adətən istifadəçilərin bərpa ifadələrini təhlükəsiz şəkildə yaratmaq üçün güclü RNG-lərdən istifadə edir. CryptoJS kimi geniş yayılmış bir kitabxanadakı bu cür əsaslı zəiflik, proqram təminatının təhlükəsizlik auditlərinin əhəmiyyətini bir daha ön plana çıxarır.
İstifadəçilərə tövsiyə olunur ki, istifadə etdikləri kripto pul kisələrinin təhlükəsizlik yeniləmələrini diqqətlə izləsinlər və mümkün qədər tez yeniləsinlər. Həmçinin, proqram təminatı inkişaf etdiriciləri üçün üçüncü tərəf kitabxanalarının kriptoqrafik sağlamlığını yoxlamağın vacibliyi bir daha vurğulanır.
