Cuộc kiểm toán bên thứ ba công khai đầu tiên của Bitcoin Core không phát hiện lỗ hổng nghiêm trọng nào
Đánh giá kéo dài bốn tháng của Quarkslab đối với Bitcoin Core không phát hiện ra bất kỳ vấn đề nghiêm trọng, cao hoặc trung bình nào, đánh dấu lần kiểm toán bên thứ ba công khai đầu tiên của phần mềm này. Cuộc kiểm toán đã dẫn đến việc đóng góp các công cụ kiểm thử mới và cơ sở hạ tầng fuzzing nhằm củng cố vị thế bảo mật lâu dài của Bitcoin.
Công ty an ninh mạng Quarkslab đã hoàn thành cuộc kiểm toán bảo mật công khai đầu tiên từ bên thứ ba đối với mã nguồn Bitcoin Core — bản triển khai tham chiếu mã nguồn mở làm nền tảng cho mạng lưới Bitcoin, bao gồm một client full-node, giao diện GUI và ví tích hợp.
Đợt đánh giá kéo dài bốn tháng này, được tài trợ bởi Brink, một tổ chức phi lợi nhuận hỗ trợ phát triển giao thức Bitcoin mã nguồn mở, và được điều phối bởi Open Source Technology Improvement Fund (OSTIF), tập trung vào lớp mạng ngang hàng (peer-to-peer) — bề mặt tấn công chính của mạng lưới — cũng như các thành phần liên quan như quản lý mempool, trạng thái chuỗi, xác thực giao dịch và logic đồng thuận, theo thông báo vào thứ Tư.
Hoàn thành vào tháng Chín, cuộc kiểm toán này tổng cộng mất 100 ngày công của ba kỹ sư Quarkslab, với sự hỗ trợ kỹ thuật từ Brink và công ty nghiên cứu & phát triển Bitcoin Chaincode Labs. Trước khi bắt đầu rà soát mã nguồn, hai kiểm toán viên đã làm việc trực tiếp với các kỹ sư Brink để làm quen với kiến trúc và quy trình phát triển của Bitcoin Core.
Quy trình này kết hợp giữa phân tích mã thủ công, kiểm thử động và các kỹ thuật fuzzing tiên tiến được lấy từ quy trình tích hợp liên tục hiện có của Bitcoin. Fuzzing là một kỹ thuật kiểm thử phần mềm tự động nhằm phá vỡ mã bằng cách cung cấp cho nó một lượng lớn dữ liệu bất ngờ, ngẫu nhiên hoặc không đúng định dạng.
Mục tiêu không phải là chứng nhận Bitcoin Core, mà là "chủ động tìm kiếm các lỗ hổng, cải thiện phương pháp kiểm thử và xác định các cách thực tiễn để củng cố mã nguồn," Brink lưu ý trong một bài đăng riêng biệt.
Không có vấn đề nghiêm trọng, nhưng cải thiện kiểm thử đáng chú ý
Quarkslab báo cáo không phát hiện vấn đề nào ở mức nghiêm trọng, cao hoặc trung bình. Các kiểm toán viên đã xác định hai vấn đề ở mức độ thấp và đưa ra 13 khuyến nghị mang tính thông tin, không có vấn đề nào trong số đó được coi là lỗ hổng bảo mật theo tiêu chuẩn phân loại của Bitcoin Core.
"Không phát hiện vấn đề nghiêm trọng nào, nhưng đã mang lại những cải tiến nhỏ cho các công cụ fuzzing hiện có cũng như bổ sung các công cụ mới để kiểm thử các kịch bản chưa được kiểm tra như tái tổ chức chuỗi," Quarkslab cho biết.
"Mặc dù không phát hiện ra vấn đề nào có tác động bảo mật nghiêm trọng, cao hoặc trung bình trong quá trình kiểm toán này, nhưng cuộc kiểm toán đã cung cấp phản hồi, thông tin, kiến thức và cải tiến kiểm thử giá trị cho Bitcoin," OSTIF bổ sung.
Kết quả này củng cố quan điểm lâu dài về Bitcoin Core như một hệ thống trưởng thành và được thiết kế bảo thủ, được duy trì bởi hàng chục cộng tác viên và được nhiều tổ chức rà soát. Mặc dù đợt đánh giá tập trung vào một phần xác định của mã nguồn, các cuộc rà soát độc lập có thể tiếp tục có giá trị trong tương lai, đặc biệt đối với các thành phần mới được giới thiệu trong các bản phát hành sắp tới, các công ty lưu ý.
"Bitcoin Core là bản triển khai tham chiếu cung cấp năng lượng cho mạng lưới Bitcoin và giúp bảo vệ hàng nghìn tỷ đô la giá trị," Brink nói. "Dự án có thành tích bảo mật mạnh mẽ, nhưng chưa bao giờ trải qua một cuộc đánh giá bảo mật bên ngoài. Càng nhiều kiểm toán viên độc lập, có tư duy bảo mật và mang lại góc nhìn riêng, càng tốt."
Lo ngại về lượng tử và tranh luận về đa dạng client
Cuộc kiểm toán diễn ra trong bối cảnh các cuộc thảo luận được làm mới về mối đe dọa lượng tử dài hạn đối với các giả định mật mã của Bitcoin. Bitcoin, giống như hầu hết các blockchain lớn, dựa vào chữ ký số đường cong elliptic, vốn an toàn trước các cuộc tấn công cổ điển nhưng về lý thuyết có thể bị tổn thương bởi thuật toán Shor trên một máy tính lượng tử quy mô lớn trong tương lai.
Nếu mật mã đường cong elliptic bị phá vỡ, khóa riêng có thể được suy ra trực tiếp từ khóa công khai đã lộ — không phải bằng cách đoán brute-force, vốn vẫn không khả thi, mà bằng một lối tắt toán học do thuật toán lượng tử mang lại. Các nhà nghiên cứu tiếp tục tranh luận về thời điểm cần nâng cấp hậu lượng tử, với ước tính dao động từ vài năm đến hàng thập kỷ, thúc đẩy việc tiếp tục khám phá các lộ trình di chuyển để bảo vệ tài sản khi khóa công khai bị tiết lộ.
Định dạng địa chỉ Bitcoin SegWit gốc bắt đầu bằng "bc1q" được coi là chống lại các cuộc tấn công lượng tử tốt hơn vì chúng không tiết lộ khóa công khai cho đến khi tài sản được chi tiêu. Chỉ có khóa công khai đã băm được hiển thị trên chuỗi, điều này sẽ khó bị tấn công hơn nhiều đối với máy tính lượng tử.
Điều này có nghĩa là tài sản lưu trữ tại các địa chỉ này vẫn được bảo vệ khỏi các cuộc tấn công khôi phục khóa lượng tử miễn là chúng chưa từng được chi tiêu và khóa công khai chưa bị lộ theo cách khác. Tuy nhiên, một khi giao dịch chi tiêu diễn ra, khóa công khai sẽ lộ diện và bất kỳ tài sản còn lại nào liên kết với địa chỉ đó sẽ thừa hưởng cùng một lỗ hổng — củng cố hướng dẫn lâu dài về việc tránh tái sử dụng địa chỉ và chuyển toàn bộ số dư khi chi tiêu.
Việc rà soát Bitcoin Core cũng diễn ra sau cuộc tranh luận gần đây trong hệ sinh thái Bitcoin về đa dạng client và mối quan hệ giữa Bitcoin Core và Knots — một bản triển khai dẫn xuất duy trì một số tùy chọn chính sách và cấu hình đã được sửa đổi trong bản phát hành v30 mới nhất của Core vào tháng trước. Cuộc tranh luận thường gay gắt này đã làm nổi bật các quan điểm khác nhau về cách Bitcoin nên cân bằng giữa bảo thủ, tùy chọn và phi tập trung trong ngăn xếp phần mềm của mình.
Tuyên bố miễn trừ trách nhiệm: Mọi thông tin trong bài viết đều thể hiện quan điểm của tác giả và không liên quan đến nền tảng. Bài viết này không nhằm mục đích tham khảo để đưa ra quyết định đầu tư.
Bạn cũng có thể thích
Siri AI kết nối, Apple đặt cược vào cổng thông minh mới cho ngôi nhà! "Bộ não" màn hình đầu tiên HomeView ra mắt, phụ kiện nhà ở tung ra "combo toàn bộ nhà"
HomeView được bán với giá 299 USD, sử dụng màn hình vuông 7 inch, trang bị chip A18, có hai phiên bản để bàn và treo tường, nhận diện khuôn mặt liên kết với Siri AI, có thể nhận diện tối đa sáu người dùng. Tạm thời không phát hành ở Liên minh châu Âu vì Siri AI chưa ra mắt tại khu vực này. Apple hợp tác với LG và Schneider để ra mắt bộ sưu tập phụ kiện nhà thông minh Apple Home Collection, bao gồm camera trong nhà và ngoài trời, chuông cửa có video, máy điều nhiệt và khóa cửa. Thế hệ mới Apple TV 4K trang bị chip A19, hỗ trợ tương tác bằng giọng nói Siri AI, giá bán 299 USD; HomePod mini thế hệ thứ hai có giá 149 USD, bổ sung hiệu ứng ánh sáng tương tác, giá cao hơn thế hệ trước. Các nhà phân tích lạc quan về cơ hội Apple mở rộng lĩnh vực nhà thông minh, còn iPhone màn hình gập sẽ mở bán đặt trước vào thứ Sáu vẫn là tâm điểm gần đây.
Logic giao dịch AI thay đổi! Từ Nhật - Hàn đến Mỹ, cổ phiếu chip toàn cầu lao dốc, các thương vụ IPO nổi tiếng bị trì hoãn, liên tiếp báo động từ các đột phá công nghệ của Changxin
Trong số các cổ phiếu liên quan đến AI tăng mạnh trong năm nay, cổ phiếu chip lưu trữ đặc biệt dễ trở thành đối tượng chốt lời; trong bối cảnh giao dịch đông đúc và định giá cao, những tín hiệu cạnh tranh mới cũng đủ để dẫn đến việc bán tháo tập trung. Theo các chuyên gia Phố Wall, kiến trúc DRAM 4F² của hãng长鑫科技 đã giúp nhà đầu tư chốt lời; tiến bộ công nghệ này thực sự có ý nghĩa lớn, nhưng không thể coi đó là mối đe dọa trực tiếp ngay lập tức đối với các nhà sản xuất hiện tại. Xu hướng AI chưa kết thúc mà có thể bước sang giai đoạn tiếp theo, nhà đầu tư giờ đây quan tâm nhiều hơn đến việc hiện thực hóa lợi nhuận thay vì chỉ đặt cược vào mở rộng hạ tầng.
Iran tuyên bố lực lượng hải quân Mỹ rút lui mạnh, 6 tàu bị tấn công ở eo biển Hormuz trong một ngày, lực lượng Houthi coi các cơ sở dầu khí của Saudi Aramco là "mục tiêu hợp pháp"
Phó Tư lệnh Hải quân Iran cho biết vào thứ Hai rằng các tàu chiến, khu trục hạm và tàu sân bay của Mỹ đã rút lui đáng kể. Bộ Ngoại giao Iran cùng ngày cũng tuyên bố rằng phía Iran đang xem xét ý kiến của Mỹ, nhưng điều kiện để mở lại eo biển Hormuz vẫn không thay đổi. Theo các báo cáo, nhóm tàu sân bay Mỹ đã luân chuyển, hiện tại tại Trung Đông chỉ còn lại tàu "Washington"; tính đến Chủ nhật tuần trước, trong hai tuần qua đã có 24 tàu bị tấn công tại eo biển Hormuz và các vùng biển lân cận, đây là làn sóng tấn công nghiêm trọng nhất kể từ khi xung đột với Iran bắt đầu, vượt xa mức đỉnh hai tuần trước đó là 13 tàu, và lượng dầu xuất khẩu qua eo biển đã giảm hơn 80% so với mức trung bình hàng ngày vào tháng 9.
Giá tiền điện tử
Thêm
