La billetera de criptomonedas BitGo ha reparado una vulnerabilidad crítica que podría haber expuesto las claves privadas de los usuarios minoristas e institucionales.
El equipo de investigación de criptografía Fireblocks identificó la falla y notificó al equipo de BitGo en diciembre de 2022. La vulnerabilidad estaba relacionada con las billeteras BitGo Threshold Signature Scheme (TSS) y tenía el potencial de exponer las claves privadas de intercambios, bancos, corporaciones y usuarios de la plataforma.
El equipo de Fireblocks denominó la vulnerabilidad BitGo Zero Proof Vulnerability, que permitiría a los posibles atacantes extraer una clave privada en menos de un minuto utilizando una pequeña cantidad de código JavaScript. BitGo suspendió el servicio vulnerable el 10 de diciembre y lanzó un parche en febrero de 2023 que requería actualizaciones del lado del cliente a la última versión antes del 17 de marzo.
El equipo de Fireblocks explicó cómo identificaron el exploit utilizando una cuenta gratuita de BitGo en la red principal. Una pieza faltante de evidencia obligatoria de conocimiento cero en el protocolo de billetera ECDSA-TSS de BitGo permitió al equipo exponer la clave privada a través de un simple ataque.
Lea también: Euler Finance pirateado en más de $ 195M Flash Loan Attack
Las plataformas de activos de criptomonedas de clase empresarial estándar de la industria utilizan computación multipartita (MPC/TSS) o tecnología de firma múltiple para eliminar la posibilidad de un único punto de ataque. Lo hace mediante la distribución de una clave privada entre varias partes para proporcionar controles de seguridad si una de las partes se ve comprometida.
Fireblocks pudo demostrar que los atacantes internos o externos podían obtener acceso a una clave privada completa de dos formas posibles.
Un usuario del lado del cliente comprometido podría iniciar una transacción para adquirir una parte de la clave privada almacenada en el sistema de BitGo. BitGo luego realizaría el cálculo de la firma antes de compartir información que revelara el divisor de claves de BitGo.
«El atacante ahora puede reconstruir la clave privada completa, cargarla en una billetera externa y retirar los fondos de inmediato o en una fecha posterior».
El segundo escenario consideró un ataque cuando BitGo se vio comprometido. Un atacante esperaría a que un cliente inicie una transacción antes de responder con un valor malicioso. Esto luego se usa para firmar la transacción con el fragmento de clave del cliente. El atacante puede usar la respuesta para revelar el fragmento de clave del usuario antes de combinarlo con el fragmento de clave de BitGo para tomar el control de la billetera.
Fireblocks notó que el vector identificado no llevó a cabo ataques, pero advirtió a los usuarios que consideraran crear nuevas billeteras y transferir fondos de las billeteras ECDSA TSS BitGo antes del parche.
Los hackeos de billeteras han sido comunes en la industria de las criptomonedas durante los últimos años. En agosto de 2022, se retiraron más de $ 8 millones de más de 7,000 billeteras de pendientes con sede en Solana. El servicio de billetera de la red de Algorand, MyAlgo, también fue objeto de un hackeo de billetera que extrajo más de $9 millones de varias billeteras de alto perfil.
