Pierwszy publiczny audyt zewnętrzny Bitcoin Core nie wykrył poważnych luk w zabezpieczeniach
Szybkie podsumowanie: Czteromiesięczny przegląd Bitcoin Core przeprowadzony przez Quarkslab nie wykrył żadnych krytycznych, wysokich ani średnich błędów, co oznacza pierwszą w historii publiczną, zewnętrzną audyt tego oprogramowania. Audyt zaowocował opracowaniem nowych narzędzi testujących oraz infrastruktury do fuzzingu, mających na celu wzmocnienie długoterminowego bezpieczeństwa Bitcoin.
Firma zajmująca się cyberbezpieczeństwem Quarkslab zakończyła pierwszy publiczny, zewnętrzny audyt bezpieczeństwa kodu źródłowego Bitcoin Core — otwartoźródłowej implementacji referencyjnej, która stanowi podstawę sieci Bitcoin, w tym klienta pełnego węzła, interfejsu graficznego oraz wbudowanego portfela.
Czteromiesięczna ocena, sfinansowana przez Brink, organizację non-profit wspierającą rozwój otwartego protokołu Bitcoin, i koordynowana przez Open Source Technology Improvement Fund (OSTIF), koncentrowała się na warstwie sieci peer-to-peer — głównej powierzchni ataku sieci — a także na powiązanych komponentach, takich jak zarządzanie mempoolem, stan łańcucha, weryfikacja transakcji i logika konsensusu, zgodnie z ogłoszeniem z środy.
Audyt, zakończony we wrześniu, obejmował łącznie 100 roboczodni pracy wykonanej przez trzech inżynierów Quarkslab, przy wsparciu technicznym ze strony Brink oraz firmy badawczo-rozwojowej Chaincode Labs. Przed rozpoczęciem przeglądu kodu, dwóch audytorów pracowało osobiście z inżynierami Brink, aby zapoznać się z architekturą i praktykami rozwoju Bitcoin Core.
Proces łączył ręczną analizę kodu, testy dynamiczne oraz zaawansowane techniki fuzzingu zaczerpnięte z istniejących przepływów pracy ciągłej integracji Bitcoin. Fuzzing to zautomatyzowana technika testowania oprogramowania, która próbuje złamać kod poprzez dostarczanie mu dużych ilości nieoczekiwanych, losowych lub nieprawidłowych danych.
Celem nie było certyfikowanie Bitcoin Core, lecz „aktywne poszukiwanie luk, ulepszanie metod testowania oraz identyfikacja praktycznych sposobów wzmocnienia kodu”, jak zauważył Brink w osobnym wpisie.
Brak problemów o wysokim wpływie, ale istotne ulepszenia testowania
Quarkslab nie zgłosił żadnych krytycznych, wysokich ani średnich zagrożeń. Audytorzy zidentyfikowali dwa problemy o niskiej wadze oraz przedstawili 13 rekomendacji informacyjnych, z których żadna nie kwalifikowała się jako luka bezpieczeństwa według standardów klasyfikacji Bitcoin Core.
„Nie znaleziono problemów o wysokim wpływie, ale uzyskano marginalny wzrost skuteczności istniejących narzędzi fuzzingowych oraz wprowadzono nowe, obejmujące nieprzetestowane dotąd scenariusze, takie jak reorganizacja łańcucha”, powiedział Quarkslab.
„Chociaż podczas tego audytu nie zidentyfikowano żadnych ustaleń o krytycznym, wysokim czy średnim wpływie na bezpieczeństwo, audyt ten dostarczył cennych informacji zwrotnych, wglądu, informacji oraz ulepszeń testowania dla Bitcoin”, dodał OSTIF.
Wyniki te wzmacniają utrzymujące się od dawna przekonanie, że Bitcoin Core to dojrzały i konserwatywnie zaprojektowany system, utrzymywany przez dziesiątki współtwórców i przeglądany przez wiele organizacji. Chociaż ocena koncentrowała się na określonym podzbiorze kodu, niezależne przeglądy mogą ponownie okazać się wartościowe w przyszłości, szczególnie w przypadku nowych komponentów wprowadzanych w nadchodzących wydaniach, zauważyły firmy.
„Bitcoin Core to implementacja referencyjna, która napędza sieć Bitcoin i pomaga zabezpieczać biliony dolarów wartości”, powiedział Brink. „Projekt ma silną historię bezpieczeństwa, ale nigdy nie przeszedł zewnętrznej oceny bezpieczeństwa. Im więcej niezależnych, skoncentrowanych na bezpieczeństwie recenzentów wnosi swoje unikalne perspektywy, tym lepiej.”
Obawy kwantowe i debaty o różnorodności klientów
Audyt pojawia się w momencie odnowionej dyskusji na temat długoterminowego zagrożenia kwantowego dla założeń kryptograficznych Bitcoina. Bitcoin, podobnie jak większość głównych blockchainów, opiera się na podpisach cyfrowych krzywych eliptycznych, które są bezpieczne wobec klasycznych ataków, ale teoretycznie podatne na algorytm Shora na przyszłym, dużym komputerze kwantowym.
Gdyby kryptografia krzywych eliptycznych została złamana, klucze prywatne mogłyby być wyprowadzone bezpośrednio z ujawnionych kluczy publicznych — nie poprzez brutalne zgadywanie, które nadal byłoby niewykonalne, lecz przez matematyczny skrót umożliwiony przez algorytmy kwantowe. Badacze nadal debatują nad terminami, kiedy aktualizacje post-kwantowe mogą stać się konieczne, z szacunkami od kilku lat do dekad, co skłania do ciągłych poszukiwań ścieżek migracji, które zabezpieczyłyby środki po ujawnieniu kluczy publicznych.
Natywne formaty adresów SegWit Bitcoin, zaczynające się od „bc1q”, są uważane za bardziej odporne na ataki kwantowe, ponieważ nie ujawniają klucza publicznego, dopóki środki nie zostaną wydane. Na łańcuchu widoczny jest tylko zhashowany klucz publiczny, co byłoby znacznie trudniejsze do zaatakowania przez komputer kwantowy.
Oznacza to, że środki przechowywane na tych adresach pozostają chronione przed atakami kwantowymi na odzyskiwanie kluczy, dopóki nigdy nie zostały wydane i klucz publiczny nie został w inny sposób ujawniony. Jednak po wydaniu środków klucz publiczny staje się widoczny, a wszelkie pozostałe środki powiązane z tym adresem dziedziczą tę samą podatność — co wzmacnia od dawna obowiązujące zalecenia, by unikać ponownego używania adresów i przenosić całość środków podczas wydawania.
Przegląd Bitcoin Core następuje również po niedawnej debacie w ekosystemie Bitcoin na temat różnorodności klientów oraz relacji między Bitcoin Core a Knots — pochodną implementacją, która utrzymuje pewne opcje polityki i konfiguracji zmodyfikowane w najnowszym wydaniu Core v30 z zeszłego miesiąca. Często gorąca debata uwidoczniła różne poglądy na temat tego, jak Bitcoin powinien równoważyć konserwatyzm, opcjonalność i decentralizację w swoim stosie oprogramowania.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
Oddziały antyterrorystyczne na ulicach, Luwr zamknięty! We Francji w weekend wybuchła nowa fala protestów, a fala niepokojów może rozprzestrzenić się na Europę
Francja pogrąża się w nowej fali gwałtownych protestów – 70 tysięcy funkcjonariuszy sił bezpieczeństwa zostało pilnie zmobilizowanych, w wielu miastach wprowadzono godzinę policyjną, a Macron przyznał się do błędów w zarządzaniu sytuacją. Rynki finansowe już dały ostrzegawczy sygnał – różnica w rentownościach obligacji Francji i Niemiec wzrosła do najwyższego poziomu od czasu kryzysu zadłużenia w strefie euro, wskaźnik PMI spadł poniżej granicy rozwoju, luksusowe butiki zostały zabite deskami, Luwr zamknięto, a władze miejskie Paryża przewidują straty rzędu dziesiątek milionów euro. Fala niepokojów grozi rozszerzeniem się na całą Europę.
Kiedyś szaleńczo kupowali, dziś „arsenał” zmniejszył się o 51 bilionów wonów! Koreańscy inwestorzy detaliczni nie są już w stanie kupować
W ciągu czterech miesięcy "arsenał" detalicznych inwestorów z Korei spadł o 36,5%, wracając do poziomu z początku roku. Mimo że inwestorzy detaliczni łącznie netto kupili akcje o wartości ponad 75 bilionów wonów i nadal przejmują pozycje, napływ nowych środków został przerwany, a tempo uzupełniania znacznie odbiega od tempa zużycia. Dodatkowo, KOSPI w tym miesiącu gwałtownie spadł prawie o 20%, inwestorzy zagraniczni kontynuują netto sprzedaż, a obawy związane z ryzykiem kredytowym dotyczącym AI pogłębiają sytuację. W efekcie, bez wsparcia środków prywatnych, koreański rynek akcji w krótkiej perspektywie prawdopodobnie nie doczeka się trwałego odbicia.
Rozpad „transakcji konsensusu” i narodziny nowego konsensusu! Goldman Sachs wyjaśnia: Dlaczego instytucje obecnie znacznie zmniejszają swoje zaangażowanie w AI
Ekstremalnie zatłoczone transakcje typu "long na AI, short na wszystko inne" są obecnie boleśnie rozmontowywane — rynek nie zadowala się już "spalaniem gotówki jako narracją". Najwięksi dostawcy usług chmurowych muszą przy jednoczesnych nakładach inwestycyjnych rzędu 1,1 biliona dolarów wykazać rzeczywiste, wymierne przychody. Luka energetyczna na poziomie 40–50 gigawatów, rosnące koszty finansowania i zmiana makroekonomicznego paradygmatu z czasów "nadmiernych wydatków" powodują, że inwestowanie w AI przestaje być kwestią wiary, a staje się brutalnym testem zdolności do monetyzacji.
Wydatki kapitałowe na AI w impasie: przyspieszenie zwiększa presję na przepływy pieniężne, spowolnienie podważa narrację wzrostu
Nomura Securities uważa, że narracja inwestycyjna wokół AI jest obecnie uwikłana w wewnętrzne sprzeczności: jeśli giganci chmury przyspieszą wydatki kapitałowe, wolny przepływ gotówki będzie wciąż konsumowany, co prowadzi do wątpliwości dotyczących trwałości finansowania; jeśli jednak zwolnią, oznacza to, że popyt na AI oraz oczekiwania dotyczące zysków nie zostaną spełnione. Oba scenariusze prowadzą do zbycia aktywów. Nagromadzone długie pozycje podczas wrześniowej „gorączki inteligentnych agentów” po wywołaniu negatywnych katalizatorów doprowadziły do masowych stop-lossów, które rozprzestrzeniły się również na rynek amerykańskich obligacji skarbowych, kursy walut i rynek towarowy, prowadząc do systemowego delewarowania.
Ceny krypto
Więcej
