За даними The Block: Veridise повідомила, що під час проведення аудитів проектів ZK виявлення критичних проблем вдвічі ймовірніше, ніж у випадку інших видів аудитів.
Близько 55% здійснених фірмою аудитів ZK містили критичну проблему, в порівнянні з 27.5% для інших аудитів DeFi.
Фірма з блокчейн-безпеки Veridise повідомила, що аудити проектів з нульовим відомостів здатні вдвічі частіше виявляти критичні проблеми, ніж інші види аудитів.
Аналізуючи 1,605 вразливостей, виявлених під час останніх 100 аудитів, Veridise виявила в середньому приблизно 16 проблем на аудит, при цьому середня кількість виявлених проблем під час аудитів ZK була трохи вищою і складала 18, відповідно до звіту, який був надісланий The Block.
Проте, при фокусуванні уваги на критичних вразливостях, Veridise виявила, що 55% (11 з 20) аудитів ZK містили критичну проблему у порівнянні з 27.5% (22 з 80) інших аудитів, включаючи смарт-контракти, інтеграцію гаманців, імплементацію блокчейну та ретранслятори.
Протоколи ZK здобувають популярність у криптосфері через їх потенціал збільшити приватність та масштабованість у блокчейн-транзакціях. Вони дозволяють одній стороні довести іншій, що певне твердження є правдивим, не викриваючи будь-якої інформації, окрім самої правдивості цього твердження.
Проте, безпека ZK "просто складніша", за словами Veridise, і контроль за аудитами допомагає виявляти більше критичних вразливостей через складні криптографічні конструкції та інноваційний характер ZK протоколів, які часто виходять за межі існуючих криптографічних технік.
“Розробка ZK схеми потребує точного мислення про семантику операцій у генераторі свідків,” - заявив генеральний директор і співзасновник Veridise Джон Стівенс The Block. “Якщо семантика не правильно вкодована у обмеження, ви отримаєте помилки. Разуміло, чому є більше помилок у цілих, оскільки це дуже відрізняється від типової парадигми програмування.”
Найбільш поширені уразливість DeFi
Загалом, найбільш поширені вразливості, виявлені аудитами Veridise, - це помилки логіки (385), підтримка (355) та перевірка даних (304), повідомляє фірма, що становить 65% усіх проблем, виявлених під час аудитів. Ці три проблеми також переважали серед 360 виявлених вразливостей, специфічних для аудитів ZK.
Хоча проблеми з підтримкою не є строго вразливостями безпеки, включаючи, наприклад, погані практики кодування, вони іноді “на крок від перетворення в критичні баги”, - повідомив колектив.
З 223 виявлених високо-рівневих (критичних або високих) типів проблем, проблеми з логіки (91) та перевірки даних (35) переважають, за ними йдуть проблеми з “недостатньо обмеженими схемами” (19), відмови в обслуговуванні (16) та врегулювання доступу (13) серед іншого. Приблизно 78% проблем високого рівня у всіх аудитах можна віднести саме до цих п'яти типів, що складає 174 виявлені вразливості.
Конкретні проблеми аудитів ZK
У той час як серйозні проблеми представляють близько 10-30% більшості типів вразливостей, “недостатньо обмежені схеми” мають ймовірність відсотка 90%
Згідно з Veridise, імовірність містить критичні або високорівневі проблеми.
“Недооцінені або недостатньо обмежені схеми є типовими проблемами, зокрема, у контексті аудитів, що пов'язані з нульовими знаннями… коли обмеження арифметичної схеми не достатньо забезпечують всі необхідні умови для перевірки того, що обчислення виконано правильно,” — пояснила компанія. “Такі проблеми не виникають у традиційних смарт-контрактах.”
Це означає, що зловмисна сторона може створити доказ, що вводить в оману перевірника, змусивши того прийняти хибне твердження як істинне, серйозно підірваючи цілісність протоколу.
У аудитах Veridise технологія нульових знань часто використовується у критичних інфраструктурних протоколах, таких як L2 ZK-rollups, ZK-VMs та бібліотеки circom, де раніше Veridise ідентифікувала "мільйонний" ZK-баг. Безпека цих протоколів критична, оскільки вона впливає на всі децентралізовані додатки, побудовані на них.
Розглянувши інші типи проблем, помилки логіки виникають, коли код не виконує своєї призначеної функціональності через помилку в логічному потоці, пояснила Veradise, з типовим прикладом – це ситуація, коли смарт-контракт помилково дозволяє користувачам стягувати кошти, перевищуючи їх баланс.
Проблеми валідації даних пов'язані з невдалим завершенням перевірки вірності, цілісності та автентичності даних перед обробкою.
Проблеми відмови в обслуговуванні включають в себе атаки, які спрямовані на перешкоджання нормальному функціонуванню протоколу. Наприклад, смарт-контракти можуть бути помилково розроблені таким чином, що дозволяють атакуючому витрачати всі доступні газові ресурси, — говорить компанія.
Користувачі можуть отримати доступ до обмежених зон або функцій.
Veridise стверджує, що з 2018 року було вкрадено понад $10 мільярдів з різних блокчейн і DeFi платформ, і більше видимості щодо типів уразливостей потрібно для того, щоб спрямувати увагу веб3 проектів на найбільш серйозні баги і попередити їх активно.