هشدار سرتیک: نقص امنیتی eMudhra ممکن است ربات‌های کریپتو را در معرض خطر قرار دهد

شرکت امنیت بلاکچین سرتیک (CertiK) هشدار داده است که ربات‌های معامله‌گر ارز دیجیتال و اپلیکیشن‌های صرافی ممکن است با وجود اصلاحیه‌های اضطراری شرکت‌های بزرگ فناوری، همچنان در برابر نقص امنیتی گواهی eMudhra آسیب‌پذیر باقی بمانند.

تا روز سه‌شنبه، غول‌های فناوری از جمله گوگل، اپل و مایکروسافت هشت گواهی آسیب‌پذیر صادر شده توسط شرکت هندی eMudhra را مسدود کردند. با این حال، پیو وانگ، مدیر ارشد امنیت دارایی‌های دیجیتال در سرتیک، به کوین‌تلگراف گفت که این اصلاحیه‌ها ممکن است از اپلیکیشن‌های کریپتویی که از سیستم‌های امنیتی مجزا استفاده می‌کنند، محافظت نکند.

مسدودسازی توسط مرورگرهای اصلی، ریسک را برای کاربرانی که این به‌روزرسانی‌ها را دریافت و اجرا می‌کنند، به میزان قابل توجهی کاهش می‌دهد. برخی از اپلیکیشن‌ها خارج از اکوسیستم مرورگر، شفافیت گواهی (Certificate Transparency) را اعمال نمی‌کنند یا از سازوکارهای حفاظتی مشابه برای ابطال گواهی‌ها برخوردار نیستند.

پیو وانگ

وانگ تأکید کرد که خدمات کریپتو ذاتاً بیشتر از سایر صنایع در معرض این نقص نیستند، اما مهاجمان می‌توانند از گواهی‌های به خطر افتاده برای جعل هویت اتصالات HTTPS مورد استفاده توسط صرافی‌ها، رابط‌های کاربری کیف پول‌ها و APIها سوءاستفاده کنند.

به گفته وانگ، مهاجمان می‌توانند به طور خاص هویت خدمات کریپتو را جعل کرده و آدرس‌های واریز را جایگزین کنند یا کاربران را فریب دهند تا تراکنش‌های مخرب را تأیید کنند. البته چنین حملاتی نیازمند رهگیری یا هدایت مجدد ترافیک اینترنت کاربران نیز هست و صرفاً به خطر افتادن کلیدهای مرجع صدور گواهی، کلیدهای خصوصی کیف پول‌ها را افشا نمی‌کند.

وانگ از اپراتورهای کریپتو خواست تا نرم‌افزارها و مخازن اعتماد گواهی (certificate trust stores) خود را به‌روزرسانی کرده و تأیید کنند که اپلیکیشن‌هایشان گواهی‌های تحت تأثیر را رد می‌کنند.