Исследователь по безопасности Doyeon Park 21 апреля публично раскрыл, что в слое консенсуса Cosmos CometBFT присутствует критическая уязвимость нулевого дня с уровнем опасности CVSS 7.1. Она может привести к атаке вредоносными пировыми узлами на этапе синхронизации блоков (BlockSync), в результате чего узел впадёт в состояние взаимной блокировки (deadlock), затрагивая сеть, которая защищает активы более чем на 8 млрд долларов.
Технический принцип уязвимости: манипуляция с высокой частотой заявлений о высоте, приводящая к бесконечной взаимной блокировке
Уязвимость находится в механизме BlockSync CometBFT. В нормальной ситуации при подключении пиров они сообщают увеличивающуюся самую актуальную высоту блока (latest). Однако в имеющемся коде не проверяется случай, когда пиру сначала сообщают высоту X, а затем — более низкую высоту Y; например, сначала сообщают 2000, а затем 1001. В этом случае узел A, находящийся в процессе синхронизации, будет ждать бесконечно, пытаясь догнать высоту 2000, даже если вредоносный узел отключится; целевая высота при этом не будет пересчитана, что приводит к бесконечной взаимной блокировке и невозможности повторного присоединения узла к сети. Затронутые версии: <= v0.38.16 и v1.0.0. Исправленные версии: v1.0.1 и v0.38.17.
Провал координированного раскрытия: полная временная шкала, как поставщик снизил CVE
Park следовал стандартному процессу координированного раскрытия уязвимостей (CVD), но в ходе процесса несколько раз возникали препятствия: 22 февраля он подал первую заявку, а поставщик потребовал оформить её в виде публичного GitHub issue, отказавшись публиковать информацию; 4 марта вторая заявка была помечена в HackerOne как спам; 6 марта поставщик самостоятельно снизил серьёзность уязвимости с «средней/высокой» до «информационной (влияние можно игнорировать)», а Park подал сетевой концептуальный proof-of-concept (PoC), чтобы опровергнуть это решение; 21 апреля было принято окончательное решение о публичном раскрытии.
Park также отметил, что ранее поставщик уже выполнял аналогичные действия по снижению для CVE-2025-24371 — уязвимости с тем же воздействием, что, как считается, нарушает общепринятые международные стандарты оценки уязвимостей, такие как CVSS.
Экстренные указания: какие действия должны предпринять валидаторы сейчас
До официального развёртывания патча Park рекомендует всем валидаторам Cosmos по возможности избегать перезапуска узлов. Узлы, уже находящиеся в режиме консенсуса, могут продолжать работать нормально; но если узел перезапустить и он войдёт в процесс синхронизации BlockSync, он может впасть в взаимную блокировку из-за атаки вредоносных узлов.
В качестве временной меры смягчения: если BlockSync зависает, можно выявить вредоносных пиров, отправляющих недействительные высоты, повысив уровень логов и подобным образом отслеживая сообщения, и затем заблокировать этот узел на уровне P2P. Самое фундаментальное решение — как можно скорее обновиться до уже исправленных версий v1.0.1 или v0.38.17.
Часто задаваемые вопросы
Можно ли напрямую украсть активы с помощью этой уязвимости в CometBFT?
Нет. Эта уязвимость не позволяет напрямую украсть активы или поставить под угрозу безопасность средств в сети блокчейна. Её влияние заключается в том, что узел впадает в взаимную блокировку на этапе синхронизации BlockSync, из-за чего он не может нормально участвовать в сети. Это может повлиять на способность валидаторов производить блоки и голосовать, тем самым снижая активность соответствующего блокчейна.
Как валидаторы могут определить, что узел подвергся атаке этой уязвимости?
Если узел зависает на этапе BlockSync, то остановка увеличения целевой высоты — один из возможных признаков. Можно повысить уровень логирования модуля BlockSync и проверить, есть ли записи о принимаемых сообщениях о необычных высотах от пиров, чтобы выявить потенциально вредоносные узлы, а затем заблокировать их на уровне P2P.
Соответствует ли стандартам снижение уязвимости поставщиком до «информационной»?
Оценка CVSS Park (7.1, высокая) основана на стандартной международной методике оценивания, и Park представил поддающийся проверке сетевой PoC, чтобы опровергнуть решение о снижении. Поставщик снизил оценку до «влияние можно игнорировать», и безопасностное сообщество считает, что это нарушает общепринятые международные стандарты оценки уязвимостей, такие как CVSS. Именно этот спор является одной из ключевых причин, по которым Park в итоге принял решение о публичном раскрытии.
Отказ от ответственности: Информация на этой странице может поступать от третьих лиц и не отражает взгляды или мнения Gate. Содержание, представленное на этой странице, предназначено исключительно для справки и не является финансовой, инвестиционной или юридической консультацией. Gate не гарантирует точность или полноту информации и не несет ответственности за любые убытки, возникшие от использования этой информации. Инвестиции в виртуальные активы несут высокие риски и подвержены значительной ценовой волатильности. Вы можете потерять весь инвестированный капитал. Пожалуйста, полностью понимайте соответствующие риски и принимайте разумные решения, исходя из собственного финансового положения и толерантности к риску. Для получения подробностей, пожалуйста, обратитесь к
Отказу от ответственности.
Связанные статьи
Атакующий Venus Protocol перевёл 2301 ETH, поступило в Tornado Cash для отмывания
Согласно ончейн-анализу от Ai тёти 22 апреля, злоумышленник Venus Protocol за 11 часов до этого перевёл на адрес 0xa21…23A7f 2 301 ETH (примерно 5,32 млн долларов США), затем разбил средства на несколько частей и завёл их в криптовалютный миксер Tornado Cash для отмывания; на момент мониторинга злоумышленник всё ещё держит на блокчейне около 17,45 млн долларов США в ETH.
MarketWhisper1ч назад
Северокорейская группа Lazarus выпускает новое вредоносное ПО для macOS Mach-O Man, нацеленное на криптовалюты
Резюме: Группа Lazarus выпустила нативный набор вредоносного ПО для macOS под названием Mach-O Man, предназначенный для криптоплатформ и высокопоставленных руководителей; SlowMist предупреждает пользователей проявлять осторожность в отношении атак.
Аннотация: В статье говорится, что группа Lazarus представила Mach-O Man — нативный для macOS набор вредоносного ПО, нацеленный на криптовалютные платформы и высокопоставленных руководителей. SlowMist предупреждает пользователей проявлять осторожность, чтобы снизить риск потенциальных атак.
GateNews2ч назад
В мошенничестве с платой за проезд в Ормузском проливе замешан биткоин: после того как судно заплатило, по нему все равно открыли огонь из артиллерии
Согласно сообщению CoinDesk от 22 апреля, греческая компания по предоставлению услуг по морским рискам Marisks выпустила предупреждение: мошенники выдают себя за иранские власти и отправляют сообщения нескольким судоходным компаниям с требованием получить биткойны или USDT в качестве «платы за проезд» для прохождения через пролив Ормуз. Marisks подтвердила, что соответствующие сообщения не поступали по официальным каналам Ирана, и, как сообщает Reuters, заявила, что считает, по меньшей мере, одно судно оказалось вовлечено в обман: в выходные оно попыталось пройти, но все равно подверглось обстрелу.
MarketWhisper2ч назад
Обновление по инциденту безопасности RHEA Finance: оставшийся разрыв составляет около 400 000 долларов США, обещают полное возмещение
RHEA Finance опубликовала последующее обновление по инциденту безопасности от 16 апреля, подтвердив, что в части возврата активов уже достигнуты существенные успехи; по состоянию на данное обновление, по оценкам, все еще существует дефицит средств примерно в размере 400 тысяч долларов США, в основном из-за комбинации NEAR, USDT и USDC в денежном пуле кредитного рынка. RHEA Finance обязуется полностью покрыть любой оставшийся дефицит, чтобы гарантировать, что все затронутые пользователи получат полную компенсацию.
MarketWhisper2ч назад
Исследователь раскрывает критическую уязвимость уровня CVSS 7.1 Zero-Day в консенсусном слое Cosmos CometBFT
Исследователь по безопасности Доён Парк сообщил о CVSS 7.1 zero-day в Cosmos' CometBFT, который может вызывать потенциальные зависания узлов во время синхронизации; сопротивление со стороны вендора, даунгрейды и раскрытие привели к раскрытию 21 апреля; валидаторам следует избегать перезапусков до выхода патча.
Аннотация: Исследователь по безопасности Доён Парк сообщил о критической уязвимости с оценкой CVSS 7.1 zero-day в слое консенсуса Cosmos' CometBFT, которая может привести к зависанию узлов во время синхронизации блоков, потенциально затрагивая сети, обеспечивающие более $8 миллиардов долларов США активов. Уязвимость не может напрямую похищать средства. Парк начал скоординированное раскрытие, начиная с 22 февраля, но столкнулся с сопротивлением со стороны вендора публичному раскрытию и проблемами с HackerOne. Вендор даунгрейдил связанную уязвимость (CVE-2025-24371) до уровня informational 6 марта, побудив Парка выпустить сетевой proof-of-concept до публичного раскрытия 21 апреля. В рекомендациях указано, что валидаторам Cosmos следует избегать перезапуска узлов до публикации патчей; узлы, уже находящиеся в консенсусе, могут продолжать работу, но перезапуск и повторная синхронизация могут подвергнуть их атакам со стороны вредоносных пиров, создавая риск взаимной блокировки.
GateNews2ч назад
Злоумышленник Venus переводит 2,301 ETH на миксер, Tornado Cash используется для отмывания
On-chain-анализ отслеживает злоумышленника протокола Venus, который переводит 2,301 ETH (~$5.32M) на предполагаемый кошелек, а затем группирует операции через Tornado Cash; на блокчейне остается около $17.45M.
Абстракт: Эта заметка обобщает ончейн-активность, связанную со злоумышленником протокола Venus, включая перевод 2,301 ETH (~$5.32M) на кошелек и пакетное смешивание через Tornado Cash, при этом примерно $17.45M еще удерживается в сети.
GateNews2ч назад
