La société de sécurité blockchain Veridise constate que les audits ZK ont deux fois plus de chances de découvrir des problèmes critiques

Signalé par The Block : Veridise a rapporté que les audits de projets ZK ont deux fois plus de chances de découvrir des problèmes critiques que les autres types d'audits.
Environ 55% des audits ZK de l'entreprise contenaient un problème critique, contre 27,5% pour les autres audits DeFi.

La société de sécurité blockchain Veridise a rapporté que les audits de projets à connaissance zéro ont deux fois plus de chances de découvrir des problèmes critiques que les autres types d'audits.

En analysant 1 605 résultats de vulnérabilités issus de ses 100 derniers audits, Veridise a constaté en moyenne environ 16 problèmes par audit, avec des moyennes d'audits ZK légèrement plus élevées à 18 problèmes découverts, selon un rapport partagé avec The Block.

Cependant, en se concentrant sur les vulnérabilités critiques, Veridise a découvert que 55% (11 sur 20) des audits ZK contenaient un problème critique, contre 27,5% (22 sur 80) de ses autres audits, y compris les contrats intelligents, les intégrations de portefeuilles, les implémentations blockchain et les relais.

Les protocoles ZK gagnent du terrain dans l'espace crypto en raison de leur potentiel à améliorer la confidentialité et la scalabilité des transactions blockchain. Ils permettent à une partie de prouver à une autre qu'une déclaration est vraie sans révéler d'informations au-delà de la validité de la déclaration elle-même.

Cependant, la sécurité ZK est "simplement plus difficile", selon Veridise, les audits découvrant plus de vulnérabilités critiques en raison des constructions cryptographiques complexes et de l'aspect innovant des protocoles ZK, qui repoussent souvent les limites des techniques cryptographiques existantes.

«Développer un circuit ZK nécessite un raisonnement précis sur la sémantique des opérations dans le générateur de témoins», a déclaré Jon Stephens, PDG et co-fondateur de Veridise, à The Block. "Lorsque ces sémantiques ne sont pas correctement encodées en contraintes, des bogues se produisent. Il est logique qu'il y ait plus de bogues dans les circuits, car cela est très différent du paradigme de programmation typique."

Vulnérabilités DeFi les plus courantes
Globalement, les vulnérabilités les plus courantes découvertes par les audits de Veridise sont les erreurs de logique (385), la maintenabilité (355) et la validation des données (304), a déclaré l'entreprise, représentant 65% de tous les problèmes trouvés dans ses audits. Ces trois problèmes ont également dominé parmi les 360 vulnérabilités spécifiques aux audits ZK découvertes.

Alors que les problèmes de maintenabilité ne sont pas strictement des vulnérabilités de sécurité, comprenant, par exemple, des pratiques de codage médiocres, elles sont parfois "à un epsilon de devenir des bogues critiques", a déclaré l'équipe.

Sur les 223 types de problèmes graves (critiques ou de haut niveau) découverts, les erreurs de logique (91) et les problèmes de validation des données (35) étaient dominants, suivis par les problèmes de "circuit sous-contraint" (19), de déni de service (16) et de contrôle d'accès (13), entre autres. Quelque 78% des problèmes de haute sévérité dans tous les audits sont liés à ces cinq types, représentant 174 vulnérabilités découvertes.

Vulnérabilités spécifiques aux audits ZK
Alors que les problèmes graves représentent environ 10% à 30% de la plupart des types de vulnérabilités, les "circuits sous-contraints" avaient une probabilité de 90%...

Veridise a averti que les circuits sous-contraints sont des problèmes typiques spécifiquement dans les audits liés à la connaissance nulle ... lorsque les contraintes d'un circuit arithmétique n'imposent pas suffisamment toutes les conditions nécessaires pour vérifier qu'un calcul a été effectué correctement. Ils ne se produisent pas dans les contrats intelligents traditionnels.

Cela signifie qu'une partie malveillante pourrait créer une preuve qui trompe le vérificateur en acceptant une fausse déclaration comme vraie, sapant gravement l'intégrité du protocole.

Dans les audits de Veridise, la technologie de connaissance nulle est fréquemment utilisée dans des protocoles d'infrastructure cruciaux tels que L2 ZK-rollups, ZK-VMs et les bibliothèques de circom - où Veridise a précédemment identifié un bogue ZK de "million de dollars". La sécurité de ces protocoles est critique car elle impacte toutes les applications décentralisées construites sur elles.

En décomposant les autres types de problèmes, les erreurs logiques surviennent lorsque le code ne réalise pas sa fonctionnalité prévue en raison d'une erreur dans le flux logique, a expliqué Veradise, un exemple typique étant un contrat intelligent qui autorise par erreur les utilisateurs à retirer des fonds dépassant leur solde.

Les problèmes de validation des données se rapportent à l'échec de la vérification correcte, de l'intégrité et de l'authenticité des données avant leur traitement.

Les problèmes de déni de service impliquent des attaques visant à perturber le fonctionnement normal d'un protocole. Par exemple, des contrats intelligents pourraient être conçus par erreur pour permettre à un attaquant de consommer tout le gaz disponible, a déclaré la société.

Les utilisateurs peuvent accéder à des zones ou fonctions restreintes.

Veridise affirme que plus de 10 milliards de dollars ont été volés sur diverses plateformes blockchain et DeFi depuis 2018, avec une meilleure visibilité sur les types de vulnérabilités nécessaires pour orienter l'attention des projets web3 vers les bugs les plus graves et les prévenir de manière proactive.