#dusk $DUSK @Dusk not gonna lie, dusk'un privacy modelinə baxmaq üçün parlaq bir açı axtarırdım, bacım onu göstərdi və mən orada daha yaxşı bir şey tapdım — real təhlükəsizlik yazısı
OtterSec, phoenix shielded transactions-un arxasındakı sübut sistemi olan dusk-plonk-da soundness (səslilik) xətası tapdı. Verifier hər sübutdan dörd xüsusi dəyəri yoxlamalı idi, amma heç onları yoxlamırdı — sadəcə final riyaziyyatında onları təsdiqsiz şəkildə istifadə edirdi, trusted commitments-lə uyğunluğunu yoxlamadan
Nəzəri olaraq bunu nə dərəcədə açır: kimsə, nəyi təmsil etdiyini yalan danışaraq, tam etibarlı görünən bir sübut qura bilərdi. heç nədən dusk mint etmək, ya da saxta shielded spend-i keçirmək. Üstəlik phoenix olduğuna görə, shielded pool-da oturan saxta output-ları fərq etmək demək olar ki, mümkün olmazdı — public balance kimi öz gözünlə yoxlayıb anlamaq olmur
14 fevral 2026-cı il tarixində 645265b7 commit-də düzəliş göndərildi. Qeyd etmək lazımdır: bu, OtterSec-in açıqlamasıdır, mən dusk tərəfindən uyğun bir writeup tapmamışam — görən varsa, paylaşın
düz söhbətdə insanların keçdiyi hissə: zk privacy zəncirlərində riskli olan təkcə privacy deyil, verifierdir. moonlight-ın public tx-ləri sadə imza yoxlaması ilə idarə olunur, bu da izahı asandır. phoenix-in shielded tx-ləri isə tamamilə bir sübut yoxlanışının mütləq qüsursuz olmasına dayanır. daha böyük etibar səthi var, amma UI yox, riyaziyyat olduğu üçün görünməz qalır
təkcə dusk problemi də deyil — ikinci, müstəqil plonk implementasiyası (jellyfish-in ultraplonk) da eyni tip bug-un izini daşıyırdı, bir ay sonra 18 martda düzəldildi. eyni səhv, iki komanda, aylarla fərqlə
dusk 2022-ci ildə də fərqli bir plonk soundness problemi yaşamışdı, trail of bits tərəfindən işarələnmiş, ictimai açıqlanmış və düzəldilmişdi. iki ayrı problem, illər arası, fərqli uğursuzluq rejimləri, iki fərqli firma tərəfindən aşkarlanıb
məni düşündürən odur ki, real sual “transaksiyaları gizlədə bilərmi” deyil, sübut sisteminin real securities ilə bağlı etibar qazanması üçün neçə müstəqil göz lazımdır.
#Web3Security