Falha de segurança encontrada na EOS pode promover um ataque massivo às exchanges – afirma pesquisador da Cornell University em entrevista exclusiva a esse portal

O professor-associado Emin Gün Sire de ciência da computação da Universidade de Cornell apontou que o modelo de governança da EOS, que está em rápida evolução, prevê que a forma como a EOS lida com falhas de segurança resultará em uma avalanche de tentativas de ataque hackers em larga escala ao longo do ano.

I’m calling it: there will be a massive exchange hack within the next year, taking advantage of an EOS vulnerability. That exchange will lose its hot wallet.

Hackers will send the proceeds to downstream exchanges, where they will trade into other coins.

(1/n)

— Emin Gün Sirer (@el33th4xor) 18 de junho de 2018

As falhas de segurança do EOS podem causar “contágio hackers”

A ameaça de uma falha de segurança EOS, de acordo com Sirer, é muito real. Aproveitando as vulnerabilidades da EOS, os hackers poderão capturar a carteira de uma exchange, acessando a EOS e negociando-a com outros tokens por meio de negociações downstream.

A questão da segurança da EOS, afirma Sirer, é o próprio modelo de governança:

“As exchanges ainda não descobriram que o modelo de governança da EOS não combina bem com outras moedas. Os desenvolvedores da EOS culparão os outros, e eles não estarão totalmente errados.”

As declarações de Sirer parecem ser, em parte, impulsionadas por um bug presente no código da EOS que fez com que o blockchain EOS sofresse uma parada temporária logo após o lançamento, com os desenvolvedores lutando para desenvolver um patch em tempo hábil. A falta de uma rede de teste EOS, afirma Sirer, é uma das principais causas dos problemas contínuos da EOS:

“Os Testnets são bons porque podem ajudar a identificar problemas, se você tiver sorte e estes se apresentarem no teste. Mas as vulnerabilidades sutis reais surgem apenas quando um hacker as avisam. Isso não vai acontecer no testnet. As Testnets ajudam a encontrar bugs, mas a falta de bugs no testnet não oferece nenhuma garantia de correção. ”

Falando com o Cryptowatch, Sirer explica que o modelo de governança usado pela EOS é novo no ecossistema de intercâmbio, o que aumenta drasticamente o risco:

“A EOS tem um novo mecanismo de governança que as bolsas ainda não estão totalmente à vontade. Como a EOS tem uma API semelhante a outros cryptos, eles o tratam como se estivessem na mesma categoria. Na realidade, a EOS não tem finalização devido à sua confiança nos BPs para julgar e arbitrar disputas. ”

Previsão de Hack baseada em opinião, não em código

Como Sirer é rápido em apontar em suas próprias declarações, no entanto, sua previsão de que as falhas de segurança da EOS resultarão em ataques massivos às bolsas, não se baseia na avaliação do código EOS:

“Eu baseio essa previsão não em qualquer vulnerabilidade específica que eu suspeito estar no código EOS… mas em ter lido o projeto git e visto como eles lidam com bugs críticos para a segurança.”

Roshan Abraham, Chefe de Tecnologia da EOS Authority, produtora do EOS Authority, comentou sobre o estado atual do gerenciamento de segurança da EOS, enfatizando o fato de que um hack sobre hot wallet é extremamente improvável, considerando os múltiplos fatores de segurança presentes no ecossistema EOS:

“A EOS possui a melhor configuração de segurança disponível para seus usuários. Uma combinação de multisig, chaves de proprietário, chaves ativas e transações com atraso de tempo que a tornam altamente segura ”.

Mesmo se uma carteira de exchange fosse alvo de tentativas maliciosas, afirma Abraham, as bolsas possuem a capacidade de detectar e impedir transações fraudulentas, destacando as informações de contas e permissões EOS:

“Uma bolsa, por exemplo, pode ter uma carteira que só permite transferências após 4 horas de solicitação. Isso dá à bolsa tempo suficiente para cancelar a transação se ela não for autorizada por eles ”.

O bug recente da EOS, observa Abraham, resultou na perda de zero transações ou dados confirmados. Por fim, embora seja compreensível a preocupação com a segurança de qualquer bolsa centralizada, pode-se argumentar que o modus operandi da equipe de desenvolvimento de um projeto não é um indicador infalível da segurança de qualquer token em uma exchange. Pois a preocupação com a segurança de um token, começa com sua equipe de desenvolvimento e chega às exchanges, talvez com muito mais exigência.

“Não armazene tokens e dinheiro em exchanges a longo prazo … Peça que as equipes de desenvolvimento forneçam post mortems após bugs, descrevendo não apenas o patch para consertá-los, mas as mudanças feitas para abordar o que deu origem ao bug em primeiro lugar. “

Qihoo360 em maio já havia alertado para problemas de segurança no blockchain EOS

A Qihoo 360, a maior empresa de segurança na Internet da China, disse que identificou uma vulnerabilidade de segurança de alto risco na rede EOS. O bug foi corrigido 24 horas depois pela EOS, embora ambas as partes pareçam discordar do que realmente aconteceu e da gravidade da falha.

De acordo com a Qihoo 360, o problema de segurança está “em uma escala épica” e pode ser usado para reempacotar um contrato malicioso em um novo bloco, o que faria com que todos os nós completos da rede fossem controlados remotamente. Isso pode ser catastrófico para a rede EOS, afirma a Qihoo 360.

“Como o sistema do nó é completamente controlado, o invasor pode ‘fazer o que quiser’, como roubar a chave do super nó EOS, controlar as transações em moeda virtual da rede EOS e adquirir outros dados financeiros e de privacidade.” o sistema do nó participante da rede EOS – como a chave de um usuário armazenada na carteira, os principais perfis de usuário, os dados de privacidade e muito mais “, afirmou Qihoo 360.

Contudo, a equipe de segurança da EOS, discorda plenamente da visão da Qihoo360 e os acusa de estarem se autopromovendo com o anúncio de vulnerabilidades:

A equipe da EOS, no entanto, acredita que a vulnerabilidade de segurança não é tão grave como alegado pela Qihoo 360. Roshan Abraham, chefe de tecnologia da EOS Authority, disse que “as máquinas virtuais (VM) usadas na EOS são web Assembly e são ativamente desenvolvida pelo Google, Microsoft e outras grandes empresas. É altamente improvável que haja problemas (VM). É mais provável que seja um problema específico com nós. “

“Isso é realmente uma auto-promoção épica, não épicas falhas de segurança”, disse uma pessoa conectada à EOS, que não tem autorização para falar publicamente.

Siga-nos no Telegram   no WhatsApp   no Twitter

Follow Cryptowatch on social media!

• Telegram
• Facebook
• Twitter

Leandro França de Mello

Empreendedor, Cientista de Dados e cryptopesquisador.