Bu blogda, yakın zamanda yaşanan Poly network açığını gidermek için hazırlanan yamanın gayri resmi güvenlik incelememizi paylaşacağız.
Sorumluluk Reddi:
Yalnızca yamanın gayri resmi bir güvenlik incelemesini sunuyoruz. Değerlendirmemiz, yamanın 10 Ağustos 2021'de daha önce saldırıya uğrayan açığı giderebileceğini göstermektedir. Ancak incelememiz, projenin diğer bileşenlerinde başka açıkların bulunmadığını garanti etmemektedir.
İncelememiz
Temel olarak, açığı giderme yöntemi izin listelerinin kullanılmasıdır. İzin listeleri, EthCrossChainManager oluşturulurken başlatılır. Bu sayede yama, aşağıdaki güvenlik özelliklerini sağlayabilir.
- Birinci özellik: Yalnızca izin listelerindeki sözleşme, zincirler arası işlemi başlatmak için kullanılan crossChain fonksiyonunu çağırabilir.
- İkinci özellik: Yalnızca izin listelerindeki yöntem ve sözleşme, zincirler arası işlem tarafından çağrılabilir.
Yukarıdaki özelliklerin uygulanmasıyla yamanın açığı giderebileceğini düşünüyoruz.
Yalnızca BSC ve Ethereum için açığı gidermek amacıyla kullanılan belirli yamayı incelediğimizi belirtmek gerekir. Zincirler arası işlemlerin yerel desteğiyle çalışan diğer zincirlerin birinci güvenlik özelliğine sahip olup olmadığından (ilgili kodun değişikliğini incelemeden) emin değiliz. Bunun yanı sıra bu yama, güvenlik politikaları için daha uygun bir yer olduğunu düşündüğümüz Poly zinciri üzerinde (kaynak ve hedef zincire güvenmeksizin) herhangi bir güvenlik iyileştirmesi yapmamaktadır.
Katkıda Bulunanlar: Yufeng Hu, Siwei Wu, Lei Wu, Yajin Zhou @ BlockSecTeam
BlockSec Hakkında
BlockSec, 2021 yılında küresel alanda tanınan bir grup güvenlik uzmanı tarafından kurulmuş öncü bir blok zinciri güvenlik şirketidir. Şirket, kitlesel benimsenmesini kolaylaştırmak amacıyla gelişmekte olan Web3 dünyasının güvenliğini ve kullanılabilirliğini artırmaya kararlıdır. Bu doğrultuda BlockSec; akıllı sözleşme ve EVM zinciri güvenlik denetimi hizmetleri, güvenlik geliştirme ve tehditleri proaktif olarak engelleme amacıyla Phalcon platformu, fon takibi ve araştırma için MetaSleuth platformu ve kripto dünyasında web3 geliştiricilerinin verimli şekilde gezinmesi için MetaSuites eklentisini sunmaktadır.
Bugüne kadar şirket, MetaMask, Uniswap Foundation, Compound, Forta ve PancakeSwap gibi 300'den fazla saygın müşteriye hizmet vermiş; Matrix Partners, Vitalbridge Capital ve Fenbushi Capital gibi önde gelen yatırımcıların katıldığı iki finansman turunda on milyonlarca ABD doları yatırım almıştır.
Resmi web sitesi: https://blocksec.com/
Resmi Twitter hesabı: https://twitter.com/BlockSecTeam
