El 30 de noviembre, Guy Zyskind, CEO de Privacy Smart Contract Blockchain Secret Network, dijo: dijo que los desarrolladores habían parcheado una vulnerabilidad relacionada con la privacidad y los fondos de los usuarios permanecen seguros. En un documento del 29 de noviembre, Secret Network escribió que los usuarios o desarrolladores no necesitaban realizar ninguna acción y que todos los nodos activos se actualizaron para corregir el exploit el 2 de noviembre.
2/ Puede leer la publicación para conocer los detalles más importantes, pero lo importante es que la vulnerabilidad se ha mitigado y es poco probable que se haya explotado. Lo que es más importante, los fondos nunca estuvieron en riesgo, ya que Secret deliberadamente no se basa en la propiedad de SGX, solo en la privacidad.
— Guy Zyskind (@GuyZys) 29 de noviembre de 2022
La secuencia de eventos, revelada ayer por los desarrolladores de Secret Network, comenzó cuando un grupo de científicos informáticos de sombrero blanco se puso en contacto con el equipo de Secret el 3 de octubre sobre una falla en la arquitectura xAPIC (Advanced Programmable Interrupt Controller) recientemente revelada. El exploit permitió lecturas de memoria no inicializadas en ciertas CPU Intel habilitadas para Software Guard Extension (SGX). Secret Network utiliza la tecnología SGX para permitir la ejecución confidencial de contratos inteligentes.
Como se indica en su artículo, los investigadores registraron inicialmente un servidor como un nodo de validación en la Red Secreta, incluso si no tenían fondos suficientes para confiar en ellos para validar transacciones activamente. Luego, el proceso de registro almacenó una copia de la semilla de consenso global de Secret en su enclave SGX. A continuación, a través del error de CPU antes mencionado, los investigadores extrajeron la semilla de consenso de su Nodo secreto y su clave privada Intel Enhanced Privacy ID. Finalmente, con estos elementos, pudieron romper las protecciones de privacidad de Secret y decodificar el estado interno de todos los contratos inteligentes en la red, así como los activos digitales integrados en ellos.
Los desarrolladores secretos verificaron el exploit el 4 de octubre y, junto con investigadores y empleados de Intel, desarrollaron un plan para parchear la vulnerabilidad. Primero, los nodos fueron expulsados a la fuerza de la red y sus claves secretas fueron borradas. Después de eso, los nodos solo podían volver a unirse a la red después de parchear todas las vulnerabilidades conocidas, lo que se completó el 2 de noviembre. «Con esta actualización, ahora es imposible lanzar ataques xAPIC contra la red principal de Secret Network», escribió el equipo de Secret Network.
Además, los nuevos nodos que se unen a la red están restringidos al hardware de clase de servidor para limitar la superficie de ataque que presenta el hardware de clase de usuario. Fundada en 2015, Secret Network actualmente tiene una capitalización de mercado de $131 millones a través de su token nativo SCRT. La compañía se asoció con el director Quentin Tarantino para lanzar Secret NFT en noviembre pasado.
