CertiK独家：解构Cosmos生态安全，助力Web3.0星际之旅
世界で最大かつ最もよく知られているブロックチェーン エコシステムの 1 つである Cosmos エコシステムは、ブロックチェーンの相互運用性の向上と、異なるブロックチェーン間の効率的な相互運用性の実現に重点を置いています。 Cosmos は、開発者が特定のアプリケーション専用のブロックチェーンを迅速に構築できるように、モジュール式の Cosmos SDK を開発者に提供しており、広く注目されている dYdX V4 を含む多くのアプリケーションは、これに基づいて構築されています。したがって、Cosmos エコシステムのセキュリティ問題は広範囲に影響を与えることがよくあります。たとえば、Cosmos SDK で発生した Dragonfruit の脆弱性は、複数の主流パブリック チェーンの通常の動作に影響を及ぼし、チェーン開発者は脆弱性修復措置を講じるためにチェーンの通常の動作を一時停止する必要がありました。 CertiK 研究チームがリリースした「Cosmos Ecosystem Security Guide」は、Cosmos エコシステムの主要コンポーネントのセキュリティ ステータスを包括的に分析し、これまでに発見されたセキュリティ脆弱性を要約して分類し、Cosmos エコシステムの開発者とユーザー向けに一般的な脆弱性モデルと監査のアイデアをまとめています。 Cosmos エコシステムとブロックチェーン業界全体のセキュリティ レベルを向上させるために重点的に取り組む必要があるセキュリティ問題。
Cosmos エコシステムの基本コンポーネントは分散化されているため、チェーン開発者はさまざまな機能要件に応じてさまざまなコンポーネントを使用または拡張する必要があり、その結果、生態学的セキュリティの問題が多様化します。このレポートは、過去の主要なセキュリティ脆弱性の分析だけでなく、Cosmos エコシステム開発者に最大限のセキュリティ ガイダンスを提供するセキュリティ マニュアルの形式で、原因、影響、コードの場所などに従っていくつかの一般的なセキュリティ脆弱性を分類しています。関連するセキュリティ監査者は、Cosmos のセキュリティ問題を学習および監査する方法を提供します。
現在、Cosmos エコシステムの開発者によって最も一般的に使用される基本コンポーネントは、Cosmos SDK と IBC プロトコル (ブロックチェーン間通信プロトコル) です。これら 2 つのコンポーネントは、開発者がロジックを拡張および追加するために最も一般的に使用されるコンポーネントでもあります。チェーンそのもの。
Cosmos SDK では、危険性の程度と影響範囲を考慮して、通常、次のリスクを引き起こす可能性がある重大なセキュリティ脆弱性と重大なセキュリティ脆弱性に主に焦点を当てています。
1. チェーンが動かなくなる
2. 資金の損失
3. システムステータスまたは通常の動作に影響を与える
これらの危険の原因は、多くの場合、次の種類のセキュリティ脆弱性です。
1. サービス拒否
2. ステータス設定が間違っている
3. 検証が不足している、または不合理である
4. 一意性の問題
5. コンセンサスアルゴリズムの問題
6. 実装における論理的な抜け穴
7. 言語特性の問題
IBC の場合、一般的な脆弱性のカテゴリは次のとおりです。
1. ネーミングの脆弱性
文字列処理の脆弱性
バイトコード処理の脆弱性
2. 送信プロセスの脆弱性
パケット順序の脆弱性
パケットタイムアウトの脆弱性
パケット認証の脆弱性
その他のパケットの脆弱性
3. 論理の抜け穴
ステータス更新の脆弱性
投票のコンセンサスなどの脆弱性
その他の論理上の穴
4. ガス消費の脆弱性
Cosmos のセキュリティ問題は多様ですが、ポジティブな観点から見ると、Cosmos エコシステムに関連する開発プロセスが徐々に標準化されているため、関連するセキュリティ オブジェクトと攻撃の入り口がより確実になり、Cosmos エコシステムのセキュリティ監査人にチェーンの監査アイデアが提供されます。より明確なフレームワークを提供します。 「Cosmos Ecosystem Security Guide」では、Cosmos エコシステムのセキュリティ向上を目指して、これらのセキュリティ シナリオを詳細に分析しており、詳細については、調査レポートをダウンロードして読むことができます。
CertiK チームは、継続的な調査と発掘を通じて Cosmos と Web3 エコシステム全体のセキュリティの向上に貢献することに尽力しており、さまざまなプロジェクト セキュリティ レポートや技術調査を定期的に出力していきます。ご質問がございましたら、いつでもご連絡ください。
完全なレポートを読んでダウンロードしてください。https://indd.adobe.com/view/91035407-4f21-4383-9485-a56394d9f95f
公式アカウントリンク：https://mp.weixin.qq.com/s/RFHGOZNKMYCJ6ntvCNokFQ
