A Optimism revelou uma vulnerabilidade crítica antes do Lagoon, que foi corrigida antes da exploração

A Optimism revelou uma vulnerabilidade crítica no seu caminho de reembolso pré-Lagoon através de uma publicação no fórum de governança da Optimism. O problema envolvia o caminho de verificação SDM que aceitava cargas úteis de reembolso forjadas sem recomputação, criando um risco em que o sistema podia aceitar dados de reembolso que não devia ter confiado. A Optimism corrigiu a vulnerabilidade antes de ser explorada em qualquer cadeia de produção, sem perda de fundos. A divulgação traz pormenores técnicos sobre como a falha na lógica de reembolso poderia ter sido abusada se não tivesse sido resolvida, destacando a importância dos sistemas de verificação na infraestrutura de Layer 2, onde os processos de reembolso determinam pedidos de valor e a contabilidade entre sistemas.

A Optimism explica a importância da divulgação de vulnerabilidades antes da produção

A divulgação da Optimism enquadra-se na categoria de problema sério detetado, corrigido antes de ser abusado e explicado publicamente depois. A vulnerabilidade foi classificada como crítica porque envolvia a lógica de reembolso, caminhos de verificação e contabilidade entre sistemas, em que pequenas suposições podem levar a perdas significativas. A divulgação afirma que o problema foi corrigido antes de a atualização Lagoon atingir a produção e que não houve perda de fundos. Para os ecossistemas de Layer 2, este processo de segurança é relevante porque redes como a Optimism funcionam como ambientes de liquidação e execução de que outras aplicações dependem; isto significa que um problema crítico na infraestrutura de base pode afetar muitos utilizadores e protocolos se chegar à produção.

O caminho de verificação SDM aceitou cargas úteis de reembolso forjadas sem recomputação

A vulnerabilidade envolvia o caminho de verificação SDM a aceitar cargas úteis de reembolso forjadas sem recomputação. Os sistemas de reembolso determinam a quem é devido o valor, como os reembolsos são verificados e quais as mensagens que são aceites. Se o sistema aceitar cargas úteis forjadas, um atacante pode ser capaz de fazer o protocolo reconhecer reclamações que não deveriam existir. A verificação deve confirmar de forma independente qual deve ser o resultado correto, em vez de confiar cegamente nos dados fornecidos. A divulgação explica que um caminho de reembolso que aceita informação forjada representa um problema sério, deixando simultaneamente claro que a correção ocorreu antes do abuso em produção.

As redes Layer 2 enfrentam uma complexidade de segurança crescente

As redes Layer 2 incluem sequenciadores, pontes, provas de falha, caminhos de atualização, funções de governança, mensagens entre cadeias, sistemas de prova de fraude, pressupostos de disponibilidade de dados e atualizações do protocolo. Cada funcionalidade nova pode introduzir novas superfícies de ataque. A atualização Lagoon da Optimism faz parte desta evolução mais ampla. As divulgações antes da atualização mostram o que mudou, o que poderia ter corrido mal e como a equipa tratou o problema antes de uma implementação mais alargada. A divulgação afirma que sistemas complexos exigem uma revisão constante, uma vez que o trabalho de segurança tem de amadurecer tão rapidamente quanto as redes.

A divulgação pública contribui para a educação de segurança do ecossistema

As divulgações públicas podem ajudar outras equipas a verificarem pressupostos semelhantes, a melhorarem os seus próprios caminhos de verificação e a compreenderem como os bugs surgem em processos de atualização complexos. Isto é especialmente verdadeiro em ecossistemas modulares de Layer 2, onde os padrões de desenho muitas vezes se repetem. A divulgação da Optimism fornece pormenores que permitem ao ecossistema compreender o processo de segurança em torno de vulnerabilidades, correções e riscos de atualização. A divulgação baseia-se em informações publicadas no fórum de governança da segurança da Optimism.

FAQ

Que vulnerabilidade é que a Optimism divulgou na sua infraestrutura pré-Lagoon?

A Optimism divulgou uma vulnerabilidade crítica no caminho de verificação SDM que aceitava cargas úteis de reembolso forjadas sem recomputação. O problema envolvia o sistema potencialmente aceitar dados de reembolso que não devia ter confiado, criando um risco na lógica de reembolso e na contabilidade entre sistemas.

A vulnerabilidade da Optimism foi explorada em alguma cadeia de produção?

Não. A Optimism afirma que a vulnerabilidade foi corrigida antes de ser explorada em qualquer cadeia de produção e que não houve perda de fundos. O problema foi corrigido antes de a atualização Lagoon chegar à produção.

Onde é que a Optimism publicou a divulgação de segurança?

A Optimism publicou a divulgação no fórum de governança da Optimism. A divulgação fornece pormenores técnicos sobre a vulnerabilidade no caminho de reembolso pré-Lagoon e a linha temporal da correção.