Optimism Tiết Lộ Lỗ Hổng Trước Khi Lagoon Mang Tính Chí Mạng Đã Được Vá Kịp Thời Trước Khi Bị Khai Thác

Optimism đã tiết lộ một lỗ hổng nghiêm trọng trong đường hoàn tiền (refund) trước Lagoon thông qua một bài đăng trên diễn đàn quản trị của Optimism. Sự cố liên quan đến đường xác minh SDM (SDM verify path) chấp nhận các payload hoàn tiền giả mạo mà không thực hiện tính toán lại, tạo ra rủi ro khi hệ thống có thể chấp nhận dữ liệu hoàn tiền mà lẽ ra không nên tin cậy. Optimism đã vá lỗ hổng trước khi bị khai thác trên bất kỳ chuỗi sản xuất nào, và không có tiền bị mất. Bản công bố cung cấp chi tiết kỹ thuật về cách lỗi logic hoàn tiền có thể bị lạm dụng nếu không được xử lý, đồng thời nhấn mạnh tầm quan trọng của hệ thống xác minh trong hạ tầng Layer 2, nơi quy trình hoàn tiền quyết định yêu cầu về giá trị và kế toán giữa các hệ thống.

Optimism Giải thích Tầm quan trọng của việc công bố lỗ hổng trước khi đưa vào sản xuất

Bản công bố của Optimism thuộc nhóm sự cố nghiêm trọng được phát hiện, đã được vá trước khi bị lạm dụng, và được giải thích công khai sau đó. Lỗ hổng được phân loại là nghiêm trọng vì liên quan đến logic hoàn tiền, đường xác minh và kế toán giữa các hệ thống, nơi những giả định nhỏ có thể dẫn đến tổn thất lớn. Bản công bố cho biết sự cố đã được khắc phục trước khi bản nâng cấp Lagoon đi vào sản xuất và không có tiền bị mất. Với các hệ sinh thái Layer 2, quy trình bảo mật này quan trọng vì các mạng như Optimism đóng vai trò môi trường thanh toán và thực thi mà các ứng dụng khác dựa vào, nghĩa là một vấn đề nghiêm trọng trong hạ tầng cốt lõi có thể ảnh hưởng đến nhiều người dùng và giao thức nếu nó tới được môi trường sản xuất.

Đường xác minh SDM đã chấp nhận payload hoàn tiền giả mạo mà không tính toán lại

Lỗ hổng liên quan đến đường xác minh SDM chấp nhận các payload hoàn tiền giả mạo mà không thực hiện tính toán lại. Hệ thống hoàn tiền xác định ai là người được nhận giá trị, cách thức hoàn tiền được xác minh và những thông điệp nào được chấp nhận. Nếu hệ thống chấp nhận các payload giả mạo, kẻ tấn công có thể khiến giao thức ghi nhận các yêu cầu đáng lẽ không tồn tại. Việc xác minh cần tự xác nhận độc lập kết quả đúng nên là gì thay vì mù quáng tin vào dữ liệu do người khác cung cấp. Bản công bố giải thích rằng một đường hoàn tiền chấp nhận thông tin giả mạo là một vấn đề nghiêm trọng, đồng thời làm rõ rằng bản vá đã được triển khai trước khi xảy ra lạm dụng trên môi trường sản xuất.

Các mạng Layer 2 đối mặt với độ phức tạp bảo mật ngày càng tăng

Các mạng Layer 2 bao gồm trình sắp xếp (sequencers), cầu nối (bridges), bằng chứng lỗi (fault proofs), lộ trình nâng cấp, vai trò quản trị, nhắn tin chuỗi chéo, hệ thống chống gian lận (fraud-proof), các giả định về tính sẵn sàng dữ liệu (data availability), và các bản nâng cấp giao thức. Mỗi tính năng mới có thể tạo ra bề mặt tấn công mới. Nâng cấp Lagoon của Optimism là một phần của quá trình tiến hóa rộng hơn đó. Các công bố trước khi nâng cấp cho thấy những gì đã thay đổi, điều gì có thể đã xảy ra sai, và nhóm đã xử lý vấn đề ra sao trước khi triển khai rộng rãi. Bản công bố nêu rằng các hệ thống phức tạp cần được rà soát liên tục vì công việc bảo mật phải trưởng thành nhanh tương đương với tốc độ phát triển của các mạng.

Công bố công khai góp phần nâng cao kiến thức bảo mật cho hệ sinh thái

Các công bố công khai có thể giúp các nhóm khác kiểm tra các giả định tương tự, cải thiện các đường xác minh của riêng họ, và hiểu cách các lỗi xuất hiện trong các quy trình nâng cấp phức tạp. Điều này đặc biệt đúng trong các hệ sinh thái theo hướng mô-đun và Layer 2, nơi các mẫu thiết kế thường được lặp lại. Bản công bố của Optimism cung cấp chi tiết để giúp hệ sinh thái hiểu quy trình bảo mật xung quanh các lỗ hổng, các bản vá và rủi ro khi nâng cấp. Bản công bố dựa trên thông tin được phát hành trên diễn đàn quản trị của Optimism.

Câu hỏi thường gặp

Optimism đã công bố lỗ hổng nào trong hạ tầng trước Lagoon?

Optimism đã tiết lộ một lỗ hổng nghiêm trọng trong đường xác minh SDM (SDM verify path) chấp nhận các payload hoàn tiền giả mạo mà không tính toán lại. Sự cố liên quan đến việc hệ thống tiềm năng có thể chấp nhận dữ liệu hoàn tiền mà lẽ ra không nên tin cậy, tạo ra rủi ro trong logic hoàn tiền và kế toán giữa các hệ thống.

Lỗ hổng của Optimism có bị khai thác trên bất kỳ chuỗi sản xuất nào không?

Không. Optimism cho biết lỗ hổng đã được vá trước khi bị khai thác trên bất kỳ chuỗi sản xuất nào và không có tiền bị mất. Sự cố đã được khắc phục trước khi bản nâng cấp Lagoon đi vào sản xuất.

Optimism đã đăng công bố bảo mật ở đâu?

Optimism đã đăng bản công bố trên diễn đàn quản trị của Optimism. Bản công bố cung cấp các chi tiết kỹ thuật về lỗ hổng đường hoàn tiền trước Lagoon và dòng thời gian triển khai bản vá.