Fireblocks 披露 BitGo 以太坊钱包中的严重漏洞

区块链基础设施提供商 Fireblocks 的密码学研究团队今天发布了 BitGo以太坊钱包漏洞的详细信息，该钱包使用该公司的阈值签名方案(TSS)。

私钥可能被泄露的 BitGo 用户包括交易所、银行和著名的 Web3 品牌，它们之间有数十万用户。Fireblocks 以保密协议 (NDA) 为由，拒绝透露受影响的具体品牌名称。

Fireblocks 能够在 12 月初发现该漏洞，也就是该服务公开一个多月后。

在确认漏洞的技术细节后，BitGo 于 12 月 10 日暂停服务，并于 2 月发布补丁更新。这家总部位于帕洛阿尔托的公司还要求其客户在 3 月 17 日之前更新到最新版本。

今天的公告是在公司研究团队与 BitGo 安全团队遵循的“协调披露”流程结束时发布的。根据 Fireblocks 的说法，该漏洞可能使攻击者能够使用单个签名和几秒钟的计算来提取完整的私钥，从而绕过 BitGo 的所有安全功能。

数字资产托管和安全公司 BitGo于 2022 年 6 月首次推出了 TSS 钱包，并于 10 月增加了对以太坊钱包的支持，其客户包括加密行业的一些知名企业，例如 Bitstamp、Pantera Capital 和 eToro 等。

对潜在的先前攻击的担忧仍然存在

该漏洞被称为BitGo 零证明漏洞，源于BitGo TSS 钱包协议中缺少强制性零知识证明的实现，该协议使用椭圆曲线数字签名算法 ( ECDSA )。

零证明漏洞最初是在 BitGoJS 中发现的，BitGo 客户端使用 SDK 与 BitGo API 进行交互。BitGoJS 用于在客户端执行签名。

利用SDK上的漏洞，攻击者可以窃取客户端使用的私钥共享，无论其密钥存储方式和安全措施如何。

尽管 BitGo 采取了措施来解决该漏洞，但 Fireblocks 的团队仍然担心先前的利用可能会使受影响品牌的 NFT 钱包容易受到攻击。

Fireblocks 的技术、研究和创新负责人 Arik Galansky 告诉 Decrypt：“库中引入的任何补丁都应该保护实施它的钱包。然而，如果有人过去已经利用该漏洞并提取了密钥，这仍然令人担忧当它使用易受攻击的库时。”

Fireblocks 联合创始人兼首席技术官 Idan Ofrat 在与 Decrypt 分享的一份声明中表示：“随着对加密行业的攻击继续加速，获得许可的托管人被委托保护数十亿美元的用户资金。” “该漏洞是钱包提供商未能遵循经过充分审查的加密标准的结果。”

尽管在补丁之后生成的钱包应该是安全的，但根据 Fireblocks 的说法，在更新之前生成的任何 BitGo 以太坊 TSS 钱包的密钥都应该被认为是潜在暴露的。因此，这些钱包中的任何资金都应被视为存在风险，并立即转移到安全钱包中。