Một nhà nghiên cứu bảo mật đã công khai tiết lộ lỗ hổng zero-day nghiêm trọng trong CometBFT, công cụ đồng thuận của hệ sinh thái Cosmos, có thể gây ra việc đình trệ hoạt động trên toàn mạng lưới. Việc tiết lộ công khai này, theo nhà nghiên cứu là do sự gián đoạn trong giao tiếp với các nhà phát triển dự án, hiện đang gây áp lực lên hàng chục chuỗi trong hệ sinh thái Cosmos để vá lỗi trước khi nó bị khai thác tích cực.
Một lỗ hổng nghiêm trọng trong công cụ đồng thuận hỗ trợ hệ sinh thái Cosmos đã được một nhà nghiên cứu bảo mật công khai, tạo ra một vectơ tấn công mới có thể làm đình trệ hoạt động của hàng chục blockchain liên kết với nhau.
“Đây là một lỗ hổng nghiêm trọng (CVSS 7.1) có thể khiến tất cả các nút trong mạng bị dừng hoạt động”, nhà nghiên cứu bảo mật Doyeon Park cho biết trong một bài đăng trên nền tảng mạng xã hội X, nơi các chi tiết về lỗ hổng được công bố. Park dẫn lý do công khai là do sự gián đoạn trong quy trình tiết lộ lỗ hổng có phối hợp với những người duy trì dự án, một tuyên bố mà đội ngũ CometBFT vẫn chưa phản hồi công khai.
Lỗ hổng zero-day nằm trong CometBFT, lớp đồng thuận và mạng trước đây được gọi là Tendermint Core, được sử dụng bởi một phần đáng kể các chuỗi được xây dựng trên bộ công cụ phát triển phần mềm Cosmos (SDK). Theo tiết lộ của Park, một tác nhân độc hại có thể kích hoạt lỗi trong quá trình đồng bộ hóa khối, khiến các nút bị hỏng và làm tê liệt mạng lưới một cách hiệu quả. Mặc dù lỗ hổng này không trực tiếp cho phép trộm cắp tài sản, nhưng tình trạng ngừng hoạt động mạng kéo dài có thể gây ra những hậu quả đáng kể về tài chính và danh tiếng cho các dự án dựa trên công nghệ này, bao gồm cả Cosmos Hub và mã thông báo ATOM gốc của nó.
Việc tiết lộ này làm nổi bật một thách thức dai dẳng trong thế giới phần mềm phi tập trung, nơi trách nhiệm vá cơ sở hạ tầng quan trọng thường được phân bổ cho nhiều nhóm độc lập. Sự cố này có những điểm tương đồng với các vụ khai thác gần đây trong bối cảnh công nghệ rộng lớn hơn, chẳng hạn như nhiều lỗi zero-day ảnh hưởng đến hạ tầng SD-WAN của Cisco và phần mềm Defender của Microsoft, vốn đã gây áp lực buộc các tổ chức phải nhanh chóng áp dụng các bản sửa lỗi. Đối với hệ sinh thái Cosmos, cuộc đua hiện đang diễn ra để các nhà vận hành chuỗi riêng lẻ áp dụng bản vá trước khi những kẻ tấn công có thể vũ khí hóa các chi tiết về lỗ hổng đã được công bố công khai.
Bài viết này chỉ nhằm mục đích thông tin và không cấu thành lời khuyên đầu tư.
