شرکت زیرساخت Web3 Jump Crypto یک آسیب‌پذیری را در Binance BNB Beacon Chain کشف کرده است که اجازه می‌دهد تعداد نامحدودی از توکن‌های دلخواه را استخراج کند. این مشکل به صورت خصوصی برای تیم BNB فاش شد و این امکان را فراهم کرد که یک پچ در عرض 24 ساعت توسعه داده شود و مستقر شود.
در یک پست وبلاگ از 10 فوریه، Jump Crypto افشا شد گزارش مفصلی در مورد آسیب‌پذیری که دو روز قبل پیدا شد، که می‌توانست «به از دست دادن زیادی سرمایه منجر شود».
طبق این گزارش، زنجیره BNB از دو بلاک چین تشکیل شده است – زنجیره هوشمند سازگار با EVM (BSC)، که بر اساس فورکی از go-ethereum و زنجیره Beacon که بر روی Tendermint و Cosmos SDK ساخته شده است.
با این حال، Beacon Chain از یک فورک BNB میزبانی شده در GitHub با چندین تغییر خاص BNB استفاده می کند. Jump Crypto، که اخیراً یک تلاش تحقیقاتی گسترده را برای کشف و اصلاح آسیب‌پذیری‌ها در پروژه‌ها از طریق افشای هماهنگ آغاز کرده است، خاطرنشان می‌کند: «از جهات مختلف از Cosmos SDK بالادست منحرف می‌شود و ما را تشویق می‌کند تا در بررسی تفاوت‌ها دقت بیشتری داشته باشیم.
این آسیب‌پذیری به مهاجم اجازه می‌دهد تا مقدار تقریباً نامحدودی از توکن‌های BNB را از طریق یک انتقال مخرب ضرب کند، به این معنی که حساب‌های مقصد تعداد بسیار بیشتری از توکن‌های BNB را نسبت به فرستنده اولیه دریافت می‌کنند. Jump Crypto خاطرنشان کرد:
“اشکالاتی که امکان برش نامحدود دارایی‌های بومی را فراهم می‌کنند، برخی از حیاتی‌ترین آسیب‌پذیری‌ها در web3 هستند. به این ترتیب، این یافته دلیلی بر این است که همه ما باید هوشیار باشیم و برای بالا بردن تضمین‌های امنیتی در همه پروژه‌ها همکاری کنیم.”
تیم BNB با تغییر روش‌های محاسباتی مقاوم در برابر سرریز برای نوع sdk.Coin مشکل را برطرف کرد. در صورت سرریز شدن محاسبات کوین، پچ منجر به وحشت گلانگ و شکست تراکنش خواهد شد.
زنجیره BNB، بلاک چین بومی پشت صرافی ارز دیجیتال Binance است. مدیر عامل شرکت، Changpeng Zhao، از تیم Jump Crypto برای گزارش این اشکال در توییتر تشکر کرد:
با تشکر فراوان از @jump_ برای گزارش این باگ آنها یک تیم امنیتی عالی دارند. واقعا قدرش را بدان https://t.co/bqidp5X3Y2
– CZ Binance (@cz_binance) 10 فوریه 2023
در اکتبر 2022، زنجیره BNB برای مدت کوتاهی تعلیق شد پس از یک اکسپلویت زنجیره‌ای متقابل، ارز دیجیتالی به ارزش نزدیک به ۸۰ میلیون دلار را به خطر انداخت. پیدایش نقض در BSC Token Hub اتفاق افتاد و در نهایت منجر به ایجاد یک “BNB اضافی” شد. نشان می دهد یک پست رسمی در Reddit
