Повідомлення Gate News, 22 квітня — Дослідник з безпеки Дойон Парк розкрив критичну вразливість нульового дня з рейтингом CVSS 7.1 у шарі консенсусу CometBFT у Cosmos, яка може спричинити зависання вузлів під час синхронізації блоків, потенційно впливаючи на мережі, що забезпечують понад $8 мільярдів доларів США активів. Вразливість не може напряму викрасти кошти.

Парк розпочав процес скоординованого розкриття 22 лютого, але зіткнувся зі спротивом з боку вендора, який попросив подавати публічний GitHub issue, водночас відмовляючись від публічного розкриття. 4 березня HackerOne позначив його другий звіт як спам. 6 березня вендор довільно знизив рівень пов’язаної вразливості (CVE-2025-24371) до рівня "informational", відкинувши міжнародні стандарти. Парк подав мережевий proof-of-concept, щоб заперечити це рішення, перш ніж публічно розкрити ваду 21 квітня.

Парк рекомендує валідаторам Cosmos уникати перезапуску вузлів до випуску патча. Вузли, які вже працюють у режимі консенсусу, можуть продовжувати роботу, але перезапуск і перехід до синхронізації можуть піддати їх атакам з боку зловмисних партнерів, потенційно спричиняючи дедлок.

Переглянути джерело

Застереження: інформація на цій сторінці може походити зі сторонніх джерел і надається виключно для ознайомлення. Вона не відображає позицію чи думку Gate і не є фінансовою, інвестиційною чи юридичною консультацією. Торгівля віртуальними активами пов’язана з високим ризиком. Будь ласка, не покладайтеся лише на інформацію з цієї сторінки під час прийняття рішень. Детальніше дивіться у Застереженні.

Пов’язані новини

04-22 01:01

Протокол Sui DeFi Volo зазнав порушення безпеки: викрадено $3.5M активів

04-21 13:12

Дослідник безпеки розкрив вразливість CometBFT 0-day; пряме викрадення активів неможливе

04-21 08:21

Рада безпеки Arbitrum заморожує 30,766 ETH через експлойт KelpDAO: 9 із 12 членів голосують «за»

04-21 02:16

Dune Analysis: 47% LayerZero OApps використовують мінімальну конфігурацію безпеки 1-of-1 DVN

04-20 17:21

Ice Open Network зазнала витоку даних; Електронні листи користувачів і номери телефонів 2FA були розкриті

Поглиблений аналіз