एक कृत्रिम बुद्धिमत्ता (AI) सुरक्षा फर्म ने लेजर एथेरियम ऐप बग के साथ सार्वजनिक रूप से जानकारी दी। लेजर का कहना है कि उसने पहले ही दो सप्ताह पहले इस दोष को चुपचाप ठीक कर दिया था।
मुख्य प्रौद्योगिकी अधिकारी चार्ल्स गुइलमेट ने इस खुलासे को डर फैलाने वाला कहा। पैच 12 अगस्त को एक लाइन के नोट और बिना किसी सुरक्षा बुलेटिन के भेजा गया।
लेजर एथेरियम ऐप बग ने वास्तव में क्या किया
लेजर एक मुख्य वादा बेचता है। स्क्रीन आपको दिखाती है कि आप क्या साइन कर रहे हैं। उस वादे का एक नाम है। लेजर इसे स्पष्ट साइनिंग कहता है, और यह कच्चे लेनदेन कोड को डिवाइस स्क्रीन पर साधारण शब्दों में बदल देता है।
TestMachine का कहना है कि उसने इसके चारों ओर एक तरीका खोज लिया है। यह एक AI एजेंट बनाता है जिसे Azimuth कहा जाता है जो स्मार्ट कॉन्ट्रैक्ट्स में खामियों का शिकार करता है। अपने स्वयं के EVMBench बेंचमार्क पर, Azimuth ज्ञात बग के 86.3% को पकड़ता है जिसमें लगभग 2.7% झूठे सकारात्मक होते हैं।
यहाँ सरल शब्दों में दोष है। एक दुर्भावनापूर्ण वेबसाइट डिवाइस को एक दूसरा आदेश भेज सकती है जबकि आप अभी भी पहले वाले को पढ़ रहे थे।
ब्राउज़र और डिवाइस के बीच का चैनल एप्लिकेशन प्रोटोकॉल डेटा यूनिट, या APDU कहलाता है। यह समीक्षा के दौरान सुनता रहा। इसलिए इसने स्वैप को स्वीकार कर लिया।
आप स्क्रीन पर एक छोटा ट्रांसफर पढ़ेंगे। फिर आप अनुमोदन पर टैप करेंगे। और आप वास्तव में एक अज्ञात व्यक्ति को अनलिमिटेड टोकन अनुमोदन पर हस्ताक्षर करेंगे।
यह अंतिम भाग इस मामले को महत्वपूर्ण बनाता है। चेनालिसिस ने मई 2021 से अनुमोदन फ़िशिंग के माध्यम से चुराए गए लगभग $1 बिलियन क्रिप्टो का पता लगाया है। उन पीड़ितों ने स्वयं अनुमोदन पर हस्ताक्षर किए।
TestMachine ने कहा कि उसने Ledger Flex पर बग की पुष्टि की है। Ledger ने 180 देशों में 7 मिलियन से अधिक उपकरण बेचे हैं।
Ledger की Donjon टीम कहती है कि वह पहले वहां पहुंची।
Guillemet समयरेखा को पलटता है। Donjon Ledger की इन-हाउस हैकिंग टीम है। वह कहता है कि उसने अपने AI उपकरणों के साथ बग को पकड़ा और पहले फिक्स भेजा।
सार्वजनिक चेंज-लॉग तारीख का समर्थन करता है। संस्करण 1.22.2 12 अगस्त को आया। इसका पूरा सुरक्षा नोट कहता है “सुरक्षा मुद्दे।”
Donjon ने 22 क्रमांकित सुरक्षा बुलेटिन प्रकाशित किए हैं। इनमें से कोई भी इस बग को कवर नहीं करता। नवीनतम, जो 4 जून की तारीख का है, एक Monero कुंजी-रिकवरी मुद्दे से संबंधित है।
वह चुप्पी वह अंतर है जिसमें TestMachine प्रवेश किया। Ledger ने छिद्र को बंद किया, फिर कभी मालिकों को नहीं बताया कि उसने क्या बंद किया।
Guillemet की तेज शिकायत शिष्टाचार के बारे में है। वह कहता है कि TestMachine ने केवल पैच भेजने के बाद बाउंटी कार्यक्रम से संपर्क किया। उसने बाउंटी टीम से कभी बात नहीं की।
“…फिर उन्होंने एक थ्रेड प्रकाशित किया जिसमें यह संकेत दिया गया कि समस्या अनसुलझी है। यह नहीं है। यह सुरक्षा अनुसंधान नहीं है। यह ध्यान आकर्षित करने के लिए डर का निर्माण करना है,” Charles Guillemet, Ledger CTO ने टिप्पणी की।
जैसे ही समाचार होते हैं, हमें X पर फॉलो करें
TestMachine ने फिक्स की गति की प्रशंसा की और इनाम को ठुकरा दिया। Ledger बाउंटी को Bitcoin में भुगतान करता है, जिस राशि को वह मामले के अनुसार निर्धारित करता है।
AI ने बग को दो बार पाया, लेकिन मनुष्यों ने अभी भी लड़ाई की।
दोनों पक्षों ने समान दोष तक पहुँचने के लिए मशीन लर्निंग का उपयोग किया। यही वह हिस्सा है जिसे देखना चाहिए।
लेजर ने पहले यह तर्क दिया है। इसके कार्यकारी महीनों से कह रहे हैं कि एआई हमलावर वॉलेट्स को कमजोर हार्डवेयर की तुलना में अधिक खतरा पहुंचाते हैं।
गिलेमेट ने अनुशासन पर अपनी सीमा खींची।
“एआई-गति अनुसंधान केवल तभी पारिस्थितिकी तंत्र को सुरक्षित बनाता है जब इसे करने वाले लोग अभी भी बुनियादी सुरक्षा सिद्धांतों का पालन करते हैं। जिम्मेदारी से खुलासा करें। प्रकाशित करने से पहले सत्यापित करें। शोर को खोज के साथ भ्रमित न करें।”
लड़ाई स्वयं परिचित है। सुरक्षा कंपनियों ने एक ट्रेज़ोर डिवाइस हैक करने के बाद शोर मचाया, और CertiK शोधकर्ताओं ने 2024 में खुलासे की शर्तों को लेकर क्रैकेन से लड़ाई की।
खामी भी वही है। जनवरी 2021 में, डोंजन ने खुलासा किया कि इसी एथेरियम ऐप ने असमर्थित संपत्तियों के लिए लेनदेन डेटा दिखाने में विफलता दिखाई। वही ऐप, वही पाठ। जो आपने देखा वह वही नहीं था जो आपने हस्ताक्षर किया।
एआई अब इन बग्स को घंटों में उजागर करता है। विक्रेता और शोधकर्ता अभी भी मानव गति पर समन्वय करते हैं। यही वह अंतर है जहाँ यह तर्क जीवित है।
स्वामियों के लिए, समाधान उबाऊ है। लेजर लाइव खोलें, एथेरियम ऐप को अपडेट करें, और जांचें कि यह 1.22.2 पढ़ता है।
स्रोत: BeInCrypto
