A análise de uma vulnerabilidade na carteira Qubic revelou um problema de segurança fácil de ignorar: uma chave privada não precisa ser roubada diretamente. Se os números aleatórios usados para gerá-la puderem ser previstos, um atacante poderá recuperar o controle da conta.
A SlowMist descobriu que o Math.random() usado pela Qubic Wallet não é adequado para gerar sementes de contas que exigem segurança criptográfica. Além disso, parte dos valores gerados pela mesma sequência de números aleatórios é incluída no campo dejaVu dos pacotes de dados da rede. De acordo com a PoC local da equipe, em determinadas condições, obter seis valores relacionados consecutivos pode ser suficiente para recuperar o estado interno do gerador de números aleatórios e, assim, reconstruir a semente da conta e a chave privada.
O perigo desse tipo de vulnerabilidade é que, à primeira vista, tudo pode parecer normal na carteira, enquanto os usuários têm dificuldade para saber se suas contas estão em risco. O problema de segurança está na implementação subjacente, e não se pode esperar que os usuários o evitem por meio do uso cotidiano.
No entanto, o relatório apresenta um possível caminho de ataque e não permite concluir que os casos de roubo de QU ocorridos anteriormente tenham sido causados por esse método. A Qubic informou anteriormente que 1.404 carteiras foram roubadas, com perdas de aproximadamente 2,94 trilhões de QU. Os usuários afetados devem seguir os avisos de segurança e as medidas de resposta publicados pelo projeto.
A SlowMist descobriu que o Math.random() usado pela Qubic Wallet não é adequado para gerar sementes de contas que exigem segurança criptográfica. Além disso, parte dos valores gerados pela mesma sequência de números aleatórios é incluída no campo dejaVu dos pacotes de dados da rede. De acordo com a PoC local da equipe, em determinadas condições, obter seis valores relacionados consecutivos pode ser suficiente para recuperar o estado interno do gerador de números aleatórios e, assim, reconstruir a semente da conta e a chave privada.
O perigo desse tipo de vulnerabilidade é que, à primeira vista, tudo pode parecer normal na carteira, enquanto os usuários têm dificuldade para saber se suas contas estão em risco. O problema de segurança está na implementação subjacente, e não se pode esperar que os usuários o evitem por meio do uso cotidiano.
No entanto, o relatório apresenta um possível caminho de ataque e não permite concluir que os casos de roubo de QU ocorridos anteriormente tenham sido causados por esse método. A Qubic informou anteriormente que 1.404 carteiras foram roubadas, com perdas de aproximadamente 2,94 trilhões de QU. Os usuários afetados devem seguir os avisos de segurança e as medidas de resposta publicados pelo projeto.