फायरब्लॉक एथेरियम में पहले खाता अमूर्त भेद्यता की खोज और पुष्टि करता है
Summary:
फायरब्लॉक, एक क्रिप्टोक्यूरेंसी इंफ्रास्ट्रक्चर फर्म, ने एथेरियम की प्रणाली में पहले खाते की अमूर्तता भेद्यता को उजागर किया और संबोधित करने में मदद की, विशेष रूप से यूनिपास स्मार्ट कॉन्ट्रैक्ट वॉलेट के ईआरसी -4337 खाता अमूर्त में। 'व्हाइटहैट' हैकिंग ऑपरेशन के दौरान खोजी गई इस भेद्यता से हैकर्स को एथेरियम की खाता अमूर्त प्रक्रिया को दरकिनार करके यूनिपास वॉलेट का पूरा नियंत्रण मिल सकता था। सक्रिय ईआरसी -4337 मॉड्यूल के साथ कई सौ उपयोगकर्ता जोखिम में थे। फायरब्लॉक ्स की शोध टीम इस मुद्दे को तेजी से ठीक करने के लिए व्हाइटहैट ऑपरेशन में भेद्यता का फायदा उठाने में सक्षम थी। Ethereum के सह-संस्थापक विटालिक बुटेरिन ने पहले खाता अमूर्त कार्यक्षमता के अधिक व्यापक उपयोग को बढ़ावा देने की चुनौतियों पर प्रकाश डाला।
क्रिप्टोक्यूरेंसी बुनियादी ढांचे में विशेषज्ञता रखने वाली एक फर्म फायरब्लॉक्स ने एथेरियम की प्रणाली के भीतर पहले खाते की अमूर्त भेद्यता के रूप में जानी जाने वाली चीजों को उजागर किया है और सुधारने में मदद की है। 26 अक्टूबर को, यह पता चला कि यूनिपास स्मार्ट कॉन्ट्रैक्ट वॉलेट के ईआरसी -4337 अकाउंट एब्स्ट्रक्शन में एक कमजोरी पाई गई थी। एक नैतिक 'व्हाइटहैट' हैकिंग ऑपरेशन के दौरान सैकड़ों प्राथमिक नेटवर्क वॉलेट में इस मुद्दे की पहचान की गई थी, और दोनों कंपनियों ने भेद्यता को संबोधित करने के लिए सहयोग किया।
फायरब्लॉक ्स ने समझाया कि यह दोष एक संभावित आक्रमणकारी को एथेरियम की खाता अमूर्त प्रक्रिया को दरकिनार करके यूनिपास वॉलेट का पूरा नियंत्रण लेने की अनुमति दे सकता था। जैसा कि ईआरसी -4337 पर एथेरियम के डेवलपर गाइड में उल्लिखित है, खाता अमूर्त संशोधित करता है कि ब्लॉकचेन द्वारा अधिक बहुमुखी प्रतिभा और प्रभावशीलता प्रदान करने के लिए लेनदेन और स्मार्ट अनुबंधों को कैसे संभाला जाता है।
विशिष्ट Ethereum लेनदेन में, दो प्रकार के खाते होते हैं: बाहरी स्वामित्व वाले खाते (ईओए) और अनुबंध खाते। निजी कुंजी ईओए का प्रबंधन करती हैं और लेनदेन को सक्षम करती हैं, जबकि स्मार्ट अनुबंध कोड अनुबंध खातों को नियंत्रित करता है। जब एक ईओए एक अनुबंध खाते के साथ लेनदेन करता है, तो यह अनुबंध के कोड को सक्रिय करता है।
खाता अमूर्त मेटा-लेनदेन या व्यापक अमूर्त खातों का परिचय देता है, जो किसी विशेष निजी कुंजी से जुड़े नहीं होते हैं, लेकिन लेनदेन को उकसा सकते हैं और ईओए की तरह स्मार्ट अनुबंधों के साथ सहयोग कर सकते हैं।
फायरब्लॉक बताते हैं कि जब ईआरसी -4337 का अनुपालन करने वाला खाता कोई कार्रवाई करता है, तो यह केवल हस्ताक्षरित लेनदेन किए जाने को सुनिश्चित करने के लिए एंट्रीपॉइंट अनुबंध का उपयोग करता है। ये खाते आम तौर पर किसी निर्देश को निष्पादित करने से पहले यह सत्यापित करने के लिए एकल, ऑडिट किए गए EntryPoint अनुबंध पर भरोसा करते हैं कि उसके पास खाता अनुमति है। लेकिन, सिद्धांत रूप में, एक दोषपूर्ण या हानिकारक एंट्रीपॉइंट "वैलिडेटयूजरऑप" कॉल को बायपास कर सकता है और सीधे निष्पादन फ़ंक्शन को लागू कर सकता है।
फायरब्लॉक बताते हैं कि इस भेद्यता ने एक हमलावर को अपने विश्वसनीय एंट्रीपॉइंट को बदलकर यूनिपास वॉलेट पर कब्जा करने में सक्षम बनाया हो सकता है। इस अधिग्रहण के बाद, घुसपैठिया वॉलेट के धन को खत्म कर सकता था। कई सौ उपयोगकर्ता जिन्होंने अपने बटुए में ईआरसी -4337 मॉड्यूल को सक्रिय किया था, वे इस हमले के लिए अतिसंवेदनशील थे जो ब्लॉकचेन पर किसी के द्वारा उकसाया जा सकता था। समझौता किए गए बटुए में केवल छोटी राशि थी, और समस्या अपेक्षाकृत जल्दी हल हो गई थी।
एक बार जब यह स्थापित हो गया कि भेद्यता में हेरफेर किया जा सकता है, तो फायरब्लॉक ्स की शोध इकाई ने मौजूदा खामियों को ठीक करने के लिए एक व्हाइटहैट ऑपरेशन को सफलतापूर्वक निष्पादित किया। इसने भेद्यता का फायदा उठाया: "हमने यूनिपास टीम को इस विचार का सुझाव दिया, जिसने व्हाइटहैट ऑपरेशन को अंजाम देने की जिम्मेदारी ली।
Ethereum के सह-संस्थापक, विटालिक बुटेरिन ने पहले खाता अमूर्त कार्यक्षमता को व्यापक रूप से अपनाने में तेजी लाने में चुनौतियों को इंगित किया था। इन चुनौतियों में ईओए को स्मार्ट अनुबंधों में बदलने के लिए एथेरियम सुधार प्रस्ताव (ईआईपी) की आवश्यकता शामिल है और यह सुनिश्चित करना कि प्रोटोकॉल लेयर -2 समाधानों पर कार्य करता है।
Published At
10/27/2023 8:56:19 AM
Disclaimer: Algoine does not endorse any content or product on this page. Readers should conduct their own research before taking any actions related to the asset, company, or any information in this article and assume full responsibility for their decisions. This article should not be considered as investment advice. Our news is prepared with AI support.
Do you suspect this content may be misleading, incomplete, or inappropriate in any way, requiring modification or removal?
We appreciate your report.