开发商 Safeheron 表示，多重签名钱包容易受到 Starknet 应用程序的利用

根据多方计算 (MPC) 钱包开发商 Safeheron 3 月 9 日向 Cointelegraph 提供的一份新闻稿，使用 Starknet 协议的 WebXNUMX 应用程序可以利用某些多重签名 (multisig) 钱包。 该漏洞影响与 dYdX 等 Starknet 应用程序交互的 MPC 钱包。 根据新闻稿，Safeheron 正在与应用程序开发人员合作修补该漏洞。

根据 Safeheron 的协议文档，金融机构和 Web3 应用程序开发人员有时会使用 MPC 钱包来保护他们拥有的加密资产。 类似于标准的多重签名钱包，它们 要求 每笔交易的多个签名。 但与标准的多重签名不同，它们不需要将专门的智能合约部署到区块链，也不必将它们构建到区块链的协议中。

相反，这些钱包通过生成私钥的“碎片”来工作，每个碎片由一个签名者持有。 这些分片必须在链下连接在一起才能产生签名。 根据文档，由于这种差异，MPC 钱包的汽油费可以低于其他类型的多重签名，并且可以与区块链无关。

MPC钱包是 通常被认为更安全 比单一签名钱包，因为攻击者通常无法破解它们，除非它们破坏了不止一台设备。

然而，Safeheron 声称已经发现了当这些钱包与基于 Starknet 的应用程序（如 dYdX 和 Fireblocks）交互时出现的安全漏洞。 该公司在其新闻稿中表示，当这些应用程序“获得 stark_key_signature 和/或 api_key_signature”时，它们可以“绕过 MPC 钱包中私钥的安全保护”。 这可能允许攻击者下订单、执行第 2 层传输、取消订单以及进行其他未经授权的交易。

相关新闻： 新的“零价值转移”骗局针对以太坊用户

Safeheron 暗示该漏洞只会将用户的私钥泄露给钱包提供商。 因此，只要钱包提供商本身不是不诚实的，没有被攻击者接管，用户的资金应该是安全的。 但是，它认为这使用户依赖于对钱包提供商的信任。 正如该公司解释的那样，这可以让攻击者通过攻击平台本身来规避钱包的安全性：

“MPC 钱包与 dYdX 或使用签名派生密钥的类似 dApp [去中心化应用程序] 之间的交互破坏了 MPC 钱包平台的自我托管原则。 客户可能能够绕过预定义的交易政策，而离开组织的员工可能仍保留操作 dApp 的能力。”

该公司表示正在与 Web3 应用开发商 Fireblocks、Fordefi、ZenGo 和 StarkWare 合作修补该漏洞。 它还让 dYdX 意识到了这个问题，它说。 XNUMX 月中旬，该公司计划将其协议开源，以进一步帮助应用程序开发人员修补漏洞。

Cointelegraph 已尝试联系 dYdX，但未能在发布前得到回复。

StarkWare 产品负责人 Avihu Levy 告诉 Cointelegraph，该公司对 Safeheron 提高对该问题的认识并帮助提供解决方案的尝试表示赞赏，并表示：

 “很高兴 Safeheron 开源了一个专注于这一挑战的协议[…]我们鼓励开发人员解决任何集成时应该出现的任何安全挑战，无论其范围如何。 这包括现在正在讨论的挑战。

星网 是第2层 以太坊协议 使用零知识证明 以保护网络。 当用户首次连接到 Starknet 应用程序时，他们会使用他们的普通以太坊钱包获得一个 STARK 密钥。 Safeheron 表示，正是这个过程导致了 MPC 钱包的密钥泄露。

Starknet 试图在 XNUMX 月份通过以下方式提高其安全性和权力下放 开源其证明者.