Перший публічний сторонній аудит Bitcoin Core не виявив серйозних вразливостей
Швидкий огляд: Чотиримісячний аудит Bitcoin Core, проведений Quarkslab, не виявив критичних, високих чи середньої серйозності проблем, що стало першим в історії публічним аудитом цього програмного забезпечення сторонньою організацією. В результаті аудиту були розроблені нові інструменти для тестування та інфраструктура для fuzzing, спрямовані на зміцнення довгострокової безпеки Bitcoin.
Кібербезпекова компанія Quarkslab завершила перший публічний, незалежний аудит безпеки кодової бази Bitcoin Core — відкритої еталонної реалізації, яка лежить в основі мережі Bitcoin, включаючи повноцінний вузол, графічний інтерфейс користувача та вбудований гаманець.
Чотиримісячна оцінка, профінансована Brink, некомерційною організацією, що підтримує розробку відкритого протоколу Bitcoin, і координована Open Source Technology Improvement Fund (OSTIF), була зосереджена на одноранговому мережевому рівні — основній поверхні атаки мережі — а також на суміжних компонентах, включаючи управління mempool, стан ланцюга, валідацію транзакцій і логіку консенсусу, згідно з оголошенням у середу.
Аудит, завершений у вересні, склав 100 людино-днів роботи, виконаної трьома інженерами Quarkslab за технічної підтримки Brink і дослідницько-розробницької компанії Chaincode Labs. Перед початком перевірки коду двоє аудиторів працювали особисто з інженерами Brink, щоб ознайомитися з архітектурою та практиками розробки Bitcoin Core.
Процес поєднував ручний аналіз коду, динамічне тестування та передові методи fuzzing, запозичені з існуючих робочих процесів безперервної інтеграції Bitcoin. Fuzzing — це автоматизований метод тестування програмного забезпечення, який намагається зламати код, подаючи на вхід великі обсяги неочікуваних, випадкових або некоректних даних.
Метою було не сертифікувати Bitcoin Core, а "активно шукати вразливості, вдосконалювати методології тестування та знаходити практичні способи зміцнення кодової бази", зазначили в Brink у окремому дописі.
Відсутність серйозних проблем, але помітні покращення тестування
Quarkslab не виявила критичних, високих чи середніх за рівнем серйозності проблем. Аудитори ідентифікували дві малосерйозні проблеми та надали 13 інформаційних рекомендацій, жодна з яких не кваліфікується як вразливість безпеки згідно зі стандартами класифікації Bitcoin Core.
"Серйозних проблем не було виявлено, але було досягнуто незначного прогресу в існуючих інструментах fuzzing, а також створено нові для покриття нетестованих сценаріїв, таких як реорганізація ланцюга", — зазначили в Quarkslab.
"Хоча під час цього аудиту не було виявлено знахідок із критичним, високим чи середнім впливом на безпеку, він надав цінний зворотний зв'язок, інсайти, інформацію та покращення тестування для Bitcoin", — додали в OSTIF.
Результати підкріплюють давню думку про Bitcoin Core як про зрілу та консервативно спроєктовану систему, яку підтримують десятки учасників і перевіряють кілька організацій. Хоча оцінка була зосереджена на визначеній підмножині кодової бази, незалежні перевірки можуть знову стати цінними в майбутньому, особливо для нових компонентів, що з'являться у майбутніх релізах, зазначили компанії.
"Bitcoin Core — це еталонна реалізація, яка забезпечує роботу мережі Bitcoin і допомагає захищати трильйони доларів вартості", — сказали в Brink. "Проєкт має сильний послужний список у сфері безпеки, але ніколи не проходив зовнішню оцінку безпеки. Чим більше незалежних експертів із безпеки, які приносять свої унікальні погляди, тим краще".
Питання квантових загроз і дебати щодо різноманітності клієнтів
Аудит відбувся на тлі відновлених дискусій щодо довгострокової квантової загрози криптографічним припущенням Bitcoin. Bitcoin, як і більшість основних блокчейнів, покладається на цифрові підписи на еліптичних кривих, які захищені від класичних атак, але теоретично вразливі до алгоритму Шора на майбутньому великомасштабному квантовому комп'ютері.
Якщо криптографія на еліптичних кривих буде зламана, приватні ключі можна буде отримати безпосередньо з відкритих ключів — не шляхом грубого перебору, який залишиться нездійсненним, а через математичний обхід, можливий завдяки квантовим алгоритмам. Дослідники продовжують обговорювати часові рамки, коли можуть знадобитися постквантові оновлення, з оцінками від кількох років до десятиліть, що стимулює постійний пошук шляхів міграції для захисту коштів після розкриття відкритих ключів.
Формати нативних SegWit-адрес Bitcoin, які починаються з "bc1q", вважаються більш стійкими до квантових атак, оскільки вони не розкривають відкритий ключ до моменту витрати коштів. На ланцюгу видно лише хешований відкритий ключ, що значно ускладнює атаку для квантового комп'ютера.
Це означає, що кошти, збережені на цих адресах, залишаються захищеними від квантових атак на відновлення ключа, доки вони не були витрачені і відкритий ключ не був розкритий іншим чином. Однак після такої витрати відкритий ключ стає видимим, і будь-які залишкові кошти, пов'язані з цією адресою, отримають таку ж вразливість — що ще раз підкреслює давню рекомендацію уникати повторного використання адрес і переміщати весь баланс при витратах.
Огляд Bitcoin Core також відбувся після нещодавньої дискусії в екосистемі Bitcoin щодо різноманітності клієнтів і взаємовідносин між Bitcoin Core і Knots — похідною реалізацією, яка підтримує певні політики та параметри конфігурації, змінені в останньому релізі Core v30 минулого місяця. Часто гарячі дебати підкреслили різні погляди на те, як Bitcoin має балансувати консерватизм, опціональність і децентралізацію у своєму програмному стеку.
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
Нефермерські дані за жовтень знову підвищили очікування підвищення ставок у грудні! Уолл-стріт ставить понад 80% імовірності, "нове федеральне резервне інформаційне агентство США": розпродаж через AI може стати політичним фактором
Після звіту про рівень зайнятості поза сільським господарством, трейдери ставили на те, що ймовірність підвищення ставки у грудні тимчасово зросла до 85%. Представники Wall Street вважають, що звіт дає можливість для подальшого підвищення ставки, і після проміжних виборів знову виникає тиск на підвищення, коли ринок турбується про уповільнення розбудови AI або послаблення очікувань щодо підвищення ставки; деякі ж з обережністю ставляться до грудневого підвищення через волатильність фондового ринку і перспективи інвестицій у AI, які можуть утримувати Fed. “Новий федеральний резервний інформаційний канал” вважає, що звіт не похитнув оцінки Fed щодо економічного зростання та інфляції, а продаж активів, пов’язаних з AI, може стати новою змінною для рішення в грудні; потрібно звернути увагу, чи Уош орієнтується на запізнілі дані про зайнятість чи на перспективні ринкові сигнали.
У жовтні у США кількість нових робочих місць поза сільським господарством зросла на 165 тисяч, що значно перевищило очікування! Рівень безробіття несподівано знизився до 4,1%, а очікування підвищення процентної ставки у грудні зросли.
У жовтні у США кількість нових робочих місць у несільськогосподарському секторі зросла на 165 тисяч, що в 2,5 раза перевищує середній прогноз Уолл-стріт у 65 тисяч і становить приблизно п'ятикратне стандартне відхилення, значно перевищуючи верхню межу всіх інституційних прогнозів. Рівень безробіття несподівано знизився з 4,2% до 4,1%, хоча ринок очікував незмінності; річний темп зростання середньої погодинної заробітної плати також прискорився до 3,1%. Одночасно попередні два місяці даних по несільськогосподарській зайнятості були переглянуті в бік збільшення на загалом 84 тисячі. Після публікації даних дохідність дворічних казначейських облігацій США підскочила на 7 базисних пунктів, а ймовірність підвищення ставки ФРС у грудні була оцінена в 70%.
AI продажі вплинули на IPO Anthropic, потенційна оцінка знижена до 1,2—1,3 трильйонів доларів США
Діапазон оцінки, який обговорюють потенційні інвестори, вже знижено з попередніх максимумів у 2 трлн доларів до 1,2–1,3 трлн доларів, і навіть деякі стратеги пропонують знизити його нижче 1 трлн доларів для забезпечення безпеки. Зіткнувшись із різкими коливаннями ринку та фінансовими занепокоєннями, такими як квартальні збитки, Anthropic стоїть перед складним вибором: погодитись на знецінення оцінки, зменшити обсяг випуску або відкласти лістинг.
Виручка Moderna за третій квартал зросла на 29% у річному вираженні, значно перевищивши очікування, а прогноз річного зростання виручки підвищено до 15%-25% | Фінансові новини
У третьому кварталі доходи Moderna зросли на 29% у порівнянні з минулим роком і склали 1,31 млрд доларів, прибуток значно перевищив очікування. Компанія підвищила прогноз щодо зростання доходів на 2026 рік до 15–25%. Покращення фінансових результатів спричинено збільшенням обсягів продажів вакцин нового покоління від COVID-19, вакцин від грипу, а також розширенням на міжнародних ринках. Дані третьої фази щодо персоналізованої вакцини від раку також показали позитивний прогрес. Компанія одночасно реалізує програми зі зниження витрат і розвитку портфеля, а прогноз готівки на кінець року значно підвищено.
Ціни на криптовалюти
Більше
