이 블로그에서는 최근 Poly Network 취약점을 수정하는 패치에 대한 비공식 보안 검토를 공유합니다.
면책 조항:
저희는 해당 패치에 대한 비공식 보안 검토만을 제공합니다. 저희의 평가에 따르면, 이 패치는 2021년 8월 10일에 공격받은 취약점을 수정할 수 있습니다. 그러나 저희의 검토가 프로젝트의 다른 구성 요소에 다른 취약점이 존재하지 않음을 보장하지는 않습니다.
검토 내용
기본적으로, 취약점을 수정하는 방법은 허용 목록(allow lists)을 사용하는 것입니다. 허용 목록은 EthCrossChainManager를 생성할 때 초기화됩니다. 이를 통해 이 패치는 다음과 같은 보안 속성을 보장할 수 있습니다.
- 속성 1: 허용 목록에 있는 컨트랙트만 크로스체인 트랜잭션을 시작하는 데 사용되는 crossChain 함수를 호출할 수 있습니다.
- 속성 2: 허용 목록에 있는 메서드와 컨트랙트만 크로스체인 트랜잭션에 의해 호출될 수 있습니다.
위의 속성들을 적용함으로써, 저희는 이 패치가 취약점을 수정할 수 있다고 판단합니다.
단, 저희는 BSC와 이더리움의 취약점 수정을 위해 사용된 특정 패치만을 검토합니다. 크로스체인 트랜잭션을 네이티브로 지원하는 다른 체인들이 보안 속성 1을 갖추고 있는지 여부는 (해당 코드의 변경 사항을 검토하지 않고는) 확신할 수 없습니다. 또한, 이 패치는 Poly 체인에 대한 보안 강화를 수행하지 않는데, 저희는 이것이 보안 정책을 적용하기에 더 나은 위치(소스 및 대상 체인을 신뢰하지 않는)가 될 수 있다고 생각합니다.
크레딧: Yufeng Hu, Siwei Wu, Lei Wu, Yajin Zhou @ BlockSecTeam
BlockSec 소개
BlockSec은 세계적으로 著名한 보안 전문가 그룹이 2021년에 설립한 선구적인 블록체인 보안 회사입니다. 이 회사는 대중적 채택을 촉진하기 위해 새롭게 부상하는 Web3 세계의 보안과 사용성을 향상시키는 데 전념하고 있습니다. 이를 위해 BlockSec은 스마트 컨트랙트 및 EVM 체인 보안 감사 서비스, 보안 개발 및 위협 사전 차단을 위한 Phalcon 플랫폼, 자금 추적 및 조사를 위한 MetaSleuth 플랫폼, 그리고 크립토 세계에서 Web3 빌더들이 효율적으로 활동할 수 있도록 지원하는 MetaSuites 익스텐션을 제공합니다.
현재까지 이 회사는 MetaMask, Uniswap Foundation, Compound, Forta, PancakeSwap 등 300개 이상의 저명한 고객사에 서비스를 제공했으며, Matrix Partners, Vitalbridge Capital, Fenbushi Capital을 포함한 著名한 투자자들로부터 두 차례의 파이낸싱 라운드에서 수천만 달러를 유치했습니다.
공식 웹사이트: https://blocksec.com/
공식 트위터 계정: https://twitter.com/BlockSecTeam
