Solidity

慢雾余弦:サプライチェーンのネットワーク攻撃に警戒せよ Solidity スマートコントラクト開発者

ChainCatcher のメッセージによると、暗号研究者 @LehmannLorenz は X プラットフォームで、自身のコンピュータが侵入されそうになったと述べており、クリック一つで悪意のある拡張機能がインストールされる可能性があると警告しています。この拡張機能の背後にいる開発者は未確認ですが、リリースから1日で170万回のダウンロード(他のどの拡張機能よりも多い)と完璧な5/5の星評価を獲得しました。悪意のある拡張機能をダウンロードし、その内容を抽出したところ、すべてが正常に見えました - インストール時に実行される難読化された "extension.js" ファイルを除いて。ログファイルは、スクリプトが最終的にエラーを示し、攻撃が PowerShell の実行に依存していることを示しており、完全にメモリ内で実行され、ディスク上には痕跡を残さないことがわかりました。これに対して、SlowMist の余弦は、これはサプライチェーンの網羅的攻撃であり、Solidity スマートコントラクト開発者を狙っていると述べています。エディタ環境はサプライチェーン攻撃の高リスクエリアです。自分が隔離して使用できるものはできるだけ隔離し、インストールしないものはできるだけインストールしないようにし、「十分であれば良い」という原則を確保しています。派手なものは独立したコンピュータや仮想マシンに投げ込んでいます。

安全会社Dedaubは、Solidityコンパイラに脆弱性が存在することを発見しました。多数のデプロイ済みコントラクトにおけるデッドコードが、ガス費用を大幅に増加させています。

ChainCatcher のメッセージ、セキュリティ会社 Dedaub チームは、イーサリアムプログラミング言語 Solidity コンパイラに脆弱性が存在することを発見しました。この脆弱性により、デプロイされたコントラクトのバイトコードにデッドコード(dead code)が含まれ、スマートコントラクトのデプロイと操作時にガス費用が大幅に増加します。Dedaub は、チームがオープンソースのバイナリデバイダー Gigahorse を評価している際にこのエラーを発見したと述べています。ライブラリメソッドがコントラクトのコンストラクタによってのみ呼び出される場合、この脆弱性が発生します。Gigahorse の分析を通じて、Dedaub は少なくとも 35% のコントラクトにデッドコードが存在し、そのうち 33% が実行されるバイトコードの大部分を占めていることを発見しました。これらの結果は NFT プロキシが主導していますが、他のプロキシコントラクトにも同様の問題があります。大規模なコントラクトではこの問題は無視される可能性がありますが、ほとんどのデプロイされたコントラクトは小規模なものです。Dedaub チームは昨年 11 月にこのエラーを発見し、Solidity チームにこの問題の確認を促しました。(ソースリンク)
チェーンキャッチャー イノベーターとともにWeb3の世界を構築する