Amber Group ដែលជាអ្នកផ្តល់បច្ចេកវិទ្យា blockchain បានចម្លងការ hack Wintermute ក្នុងរយៈពេលតិចជាង 48 ម៉ោងដោយប្រើកុំព្យូទ័រយួរដៃមូលដ្ឋាន។ របាយការណ៍របស់ Amber Group បាននិយាយថា
“យើងបានប្រើ Macbook M1 ដែលមាន RAM 16GB ដើម្បីគណនាសំណុំទិន្នន័យជាមុនក្នុងចំនួនតិចជាង ១០ ម៉ោង… យើងបានបញ្ចប់ការអនុវត្ត ហើយអាចបំបែកសោឯកជននៃ 0x0000000fe6a514a32abdcdfcc076c85243de899b ក្នុងរយៈពេលតិចជាង 48 ម៉ោង។
នេះ ការ hack ត្រូវបានកំណត់គុណលក្ខណៈអាស័យដ្ឋានឥតប្រយោជន៍ដែលបានបង្កើតដោយប្រើឧបករណ៍ប្រមាថ ដែលអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់បង្កើតអាសយដ្ឋាន ethereum ជាក់លាក់ដែលមានតួអក្សរជាក់លាក់។ ក្នុងករណី Wintermute អាសយដ្ឋានមានលេខសូន្យនាំមុខចំនួនប្រាំពីរ។ អាសយដ្ឋាន Vanity អនុញ្ញាតឱ្យគណនីមានតួអក្សរស្រដៀងគ្នា ដែលធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការកំណត់អត្តសញ្ញាណអាសយដ្ឋានសាធារណៈនៅលើ blockchain ។
ផលប៉ះពាល់មួយទៀតនៃអាសយដ្ឋាន Ethereum ដែលមានលេខសូន្យឈានមុខគេជាច្រើនគឺការកាត់បន្ថយថ្លៃឧស្ម័នដោយសារតែការកាត់បន្ថយទំហំដែលត្រូវការដើម្បីរក្សាទុកព័ត៌មាននៅលើ blockchain ។ ទោះជាយ៉ាងណាក៏ដោយ ការដកធាតុនៃភាពចៃដន្យចេញពីដំណើរការគ្រីបគ្រីបដែលប្រើក្នុងការបង្កើតអាសយដ្ឋានមកជាមួយនឹងតម្លៃនៃសុវត្ថិភាពដែលបានកាត់បន្ថយ។
ការវិភាគដំបូងបានណែនាំថាវានឹងចំណាយពេល 1,000 GPUs ត្រឹមតែ 50 ថ្ងៃប៉ុណ្ណោះដើម្បីបង្កើតរាល់សោឯកជនដែលអាចធ្វើទៅបានសម្រាប់អាសយដ្ឋានដែលចាប់ផ្តើមដោយលេខសូន្យនាំមុខប្រាំពីរ។ ទោះជាយ៉ាងណាក៏ដោយ ឥឡូវនេះ Amber Group អះអាងថា វាអាចសម្រេចបានដោយប្រើកុំព្យូទ័រយួរដៃតែមួយក្នុងរយៈពេលក្រោម 48 ម៉ោង។
គ្រីបគ្រីបបានពន្យល់
ពាក្យប្រមាថ គឺជាឧបករណ៍បង្កើតអាសយដ្ឋានសម្រាប់ប្រព័ន្ធអេកូ Ethereum ។ មូលដ្ឋានកូដអាចទាញយកបានយ៉ាងងាយស្រួលពី GitHub ហើយមានតាំងពីឆ្នាំ 2017។ ទោះជាយ៉ាងណាក៏ដោយ កំណែ codebase បច្ចុប្បន្នរួមបញ្ចូលការព្រមានអំពីការប្រើឧបករណ៍។ អ្នកបង្កើតឧបករណ៍, ចូហ្គេស, បានបន្ថែមសារខាងក្រោមទៅឯកសារ readme.md នៅថ្ងៃទី 15 ខែកញ្ញា ឆ្នាំ 2022។
“ខ្ញុំណែនាំយ៉ាងមុតមាំប្រឆាំងនឹងការប្រើប្រាស់ឧបករណ៍នេះក្នុងស្ថានភាពបច្ចុប្បន្នរបស់វា។ ឃ្លាំងនេះនឹងត្រូវបានធ្វើបច្ចុប្បន្នភាពបន្ថែមទៀតក្នុងពេលឆាប់ៗនេះជាមួយនឹងព័ត៌មានបន្ថែមទាក់ទងនឹងបញ្ហាដ៏សំខាន់នេះ។"
លើសពីនេះ ប្រព័ន្ធគោលពីរស្នូលត្រូវបានដកចេញ ដើម្បីបញ្ឈប់អ្នកប្រើប្រាស់ពីសមត្ថភាពក្នុងការចងក្រងកូដមូលដ្ឋាន "ដើម្បីការពារការប្រើប្រាស់ឧបករណ៍នេះដែលមិនមានសុវត្ថិភាពបន្ថែមទៀត"។
ពាក្យប្រមាថប្រើ "ថាមពល GPU ក្នុងស្រុកជាមួយ OpenCL តាមរយៈក្បួនដោះស្រាយសាមញ្ញ" ដើម្បីបង្កើត Ethereum ឯកជន និងសោសាធារណៈ រហូតដល់វារកឃើញអាសយដ្ឋានដែលត្រូវនឹងច្បាប់កំណត់ដោយអ្នកប្រើប្រាស់។ ឧទាហរណ៍ ប្រសិនបើអ្នកប្រើចង់បង្កើតអាសយដ្ឋាន Ethereum ដែលបញ្ចប់ដោយ 'AAA' វានឹងបន្តដំណើរការរហូតដល់វាបង្កើតអាសយដ្ឋានដែលមានតួអក្សរទាំងនេះជាបច្ច័យរបស់វា។
នៅពេលដែលអាសយដ្ឋានត្រូវបានបង្កើតដែលមិនផ្គូផ្គងនឹងលក្ខខណ្ឌដែលបានរៀបរាប់នៅក្នុងច្បាប់នោះ ការប្រើពាក្យប្រមាថ "បន្ថែមលេខ 1 ទៅក្នុងសោឯកជន និងទទួលបានអាសយដ្ឋាន Ethereum ថ្មី រហូតដល់វារកឃើញអាសយដ្ឋានដែលត្រូវនឹងច្បាប់។"
អាសយដ្ឋាន Ethereum ជាធម្មតាត្រូវបានបង្កើតក្នុងស្រុកដោយប្រើគ្រីបគ្រីបរាងអេលីបទិក។ នៅពេលបង្កើតអាសយដ្ឋាន Ethereum មិនមានការគណនាដើម្បីពិនិត្យមើលថាតើសោឯកជនត្រូវបានប្រើប្រាស់ពីមុនសម្រាប់អាសយដ្ឋានផ្សេងទៀតដែរឬទេ។ ទោះយ៉ាងណាក៏ដោយ នេះគឺដោយសារតែចំនួនអាសយដ្ឋាន Ethereum ដែលអាចកើតមាន។
វីដេអូនេះពន្យល់ពីទំហំពិតរបស់ ការអ៊ិនគ្រីប ១២៨ ប៊ីត ប្រើនៅក្នុងការគ្រីបរបស់ Ethereum ។ ការប្រៀបធៀបសាមញ្ញក៏អាចត្រូវបានធ្វើឡើងនៅក្នុងនោះមាន ប្រហែល 2^76 ខ្សាច់នៅក្នុងពិភពលោក ប៉ុន្តែ 2^160 អាសយដ្ឋាន Ethereum អាចធ្វើទៅបាន។
ទោះជាយ៉ាងណាក៏ដោយ នៅពេលដែលតួអក្សរណាមួយនៃអាសយដ្ឋាន Ethereum ត្រូវបានកំណត់ជាមុន ការគណនាដើម្បីបង្កើតសោឯកជននឹងកាន់តែងាយស្រួល ហើយចំនួនអាសយដ្ឋានដែលអាចធ្វើបានត្រូវបានកាត់បន្ថយយ៉ាងខ្លាំង។
ការធ្វើអាជីវកម្មនេះ
Amber Grouped បានពន្យល់ថា គុណវិបត្តិនៃវិធីសាស្ត្រអាសគ្រាម គឺមកពីការប្រើគ្រាប់ពូជ 32 ប៊ីត ដើម្បីបង្កើតអាសយដ្ឋាន។
“ដើម្បីបង្កើតសោឯកជនចៃដន្យ ការប្រើពាក្យប្រមាថជាដំបូងប្រើឧបករណ៍ចៃដន្យដើម្បីបង្កើតគ្រាប់ពូជ។ ប៉ុន្តែគួរឲ្យស្តាយ គ្រាប់ពូជគឺ 32-bit ដែលមិនអាចប្រើជា private key ដោយផ្ទាល់បាន។
គ្រាប់ពូជ 32 ប៊ីតត្រូវបានចុកតាមរយៈម៉ាស៊ីនបង្កើតលេខចៃដន្យ (PRNG) ដែលប្រើមុខងារកំណត់។ វិធីសាស្ត្រ PRNG នេះផ្តល់លទ្ធផលក្នុងវិធីត្រង់ដើម្បីកំណត់គ្រាប់សោសាធារណៈដែលអាចសម្រេចបានទាំងអស់ដែលប្រើក្នុងភាពប្រមាថ។
“ចាប់តាំងពីមានគូគន្លឹះដំបូងដែលអាចធ្វើបានត្រឹមតែ 2^32 (d_0,0, Q_0,0) ហើយការធ្វើដដែលៗលើការជុំនីមួយៗគឺអាចបញ្ច្រាសបាន វាអាចបំបែកសោឯកជនពីសោសាធារណៈដែលបង្កើតឡើងដោយពាក្យប្រមាថ។
វិធីសាស្រ្តដែលប្រើដោយ Amber Group គឺដើម្បីទទួលបានកូនសោសាធារណៈនៃអាសយដ្ឋាន គណនាសោសាធារណៈដែលមានភាពប្រមាថដែលអាចធ្វើទៅបាន គណនាសោសាធារណៈដោយប្រើ OpenCL ប្រៀបធៀបសោសាធារណៈដែលបានគណនា ហើយបន្ទាប់មកបង្កើតសោឯកជនឡើងវិញនៅពេលការផ្គូផ្គងត្រូវបានរកឃើញ។
ដោយសារភាពសាមញ្ញនៃវិធីសាស្ត្រ Amber Group ណែនាំថា "មូលនិធិរបស់អ្នកមិនមានសុវត្ថិភាពទេ ប្រសិនបើអាសយដ្ឋានរបស់អ្នកត្រូវបានបង្កើតដោយពាក្យប្រមាថ"។
Amber Group ប្រាប់ CryptoSlate ថា ទាក់ទងទៅនឹងថាតើត្រូវការក្បួនដោះស្រាយការគ្រីបដែលប្រសើរជាងមុន ឬអត់នោះ "ចម្លើយគឺច្បាស់ណាស់បាទ... ឧស្សាហកម្មអាចមើលថាតើការរចនាប្រភេទនេះងាយរងគ្រោះប៉ុណ្ណា។"
ប្រភព៖ https://cryptoslate.com/wintermute-hack-replicated-on-simple-laptop-in-under-48-hours-by-exploiting-profanity-flaw/