أول استغلالين معروفين ضد دوائر ZK الحية حدثتا للتو، ولم تكن أخطاء خفية أو غير مقيدة. كانت هذه الأجهزة من Groth16 تم نشرها دون إكمال مراسم الإعداد الموثوقة. تم إنقاذ واحد من ذوي القبعة البيضاء مقابل ~1.5 مليون دولار، والآخر تم تصريف بقيمة 5 إيثانو. 🧵

كلا البروتوكولين استخدما Circom + snarkjs، وهو المكدس الأكثر شيوعا لنشر Groth16. ما هو الحشر؟ لقد تخطوا المرحلة الثانية من الإعداد الموثوق: خطوة المساهمة الخاصة بالدائرة. بدونه، يتم تعيين γ ومعلمات مفتاح التحقق δ على نفس القيمة: مولدات G2

لماذا γ = δ يكسر كل شيء؟ فحوصات التحقق من Groth16: e(-A, B) · e(α, β) · e(vk_x، γ) · e(C, δ) = 1 عندما γ = δ، يمكن للمهاجم تعيين C = -vk_x لإلغاء كلا المصطلحين، ثم تعيين A = α، B = β لإلغاء الباقي. تصبح المعادلة 1 · 1 = 1. لا حاجة لشاهد.

بروتوكول Foom (~1.4 مليون دولار) كان تطبيق يانصيب على القاعدة والإيثيريوم. قام إنقاذ القبعة البيضاء من قبل @duha_real وقبعة بيضاء مستقلة أخرى باستنزاف العقود قبل أن يتمكن جهة خبيثة، حيث تم تكرار إثباتات مزورة لاستخراج 99.97–99.99٪ من الرموز.

بروتوكول الحجاب (~5 آلاف دولار) كان تفرعا من تورنادو كاش على القاعدة. قام مهاجم بسحب كامل المجموعة في معاملة واحدة، 29 سحبا مزورا باستخدام مطلحات وهمية مثل 0xdead0000، مما استخرج رصيد ال 2.9 ETH الكامل من المجمع.

هذا هو السخرية التي تعمل كما هو مصمم. عندما تشغل إعداد groth16، يقوم بتهيئة γ و δ إلى مولد G2 كبديل. من المتوقع أن تشغل zkey contribute لعشوائية δ. إذا تخطيت هذه الخطوة، يقبل المتحقق أي دليل.

الجزء المخيف: لم يكن هذا عيب تشفير عميق أو خطأ في الدائرة الكهربائية. كان خطأ في النشر: فقدان أمر CLI واحد. وكان في الإنتاج مع أموال حقيقية معرضة للخطر.

النقاط المستفادة: - مراجعة سكريبتات النشر دائما، وليس فقط كود الدائرة - تحقق من مفاتيح التحقق الخاصة بك: إذا vk_gamma_2 == vk_delta_2، فإن براهاتك قابلة للتزوير - عملنا مع @DedaubSecurity لمسح سلاسل EVM بحثا عن عقود متأثرة أخرى، ولم يتم العثور على عقود ذات قيمة عالية، لكن بعضها موجود