Критичний патч для Decred: хто не оновлює, ризикує мережевим форком

Decred випустив обов'язковий патч для виправлення критичної вразливості мережевого консенсусу. Критичний патч для Decred, ідентифікований як версія v2.1.6, також блокує можливу періодичну атаку деанонімізації в системі змішування транзакцій і закриває кілька вразливостей, які могли б піддати мережу атакам denial-of-service. Оголошення з'явилося 19 серпня через пост у X проекту, який закликав усіх користувачів оновити програмне забезпечення якомога швидше.

Версія 2.1.6 стосується dcrd, програмного забезпечення повноцінного вузла Decred, з паралельними змінами, також випущеними для dcrwallet. Decred класифікував проблему консенсусу як вразливість "критичну", зазначивши, що відсутність оновлення може призвести до роботи вузлів на окремому мережевому форку. Проект не розповсюдив технічні деталі, які дозволили б відтворити крок за кроком, як експлуатувати вразливість, але наполіг на необхідності широкого та швидкого оновлення.

До пакету внесли свій внесок Дейв Коллінз, Джеймі Холдсток та Джош Рікмар, з 23 комітами в 20 файлах. На момент оголошення в X, збірка Windows Decrediton ще не була доступна, але сторінка GitHub версії 2.1.6 тепер містить пакети для Linux, macOS та Windows. Ті, хто завантажує програмне забезпечення, можуть перевірити файли за допомогою хешу SHA-256 та відповідних підписів, наданих Decred.

Обов'язок оновлення стосується, зокрема, окремих учасників, постачальників послуг голосування, майнерів proof-of-work та бірж, які керують мережевою інфраструктурою. Ті, хто залишається на попередніх версіях, ризикують опинитися в ізоляції на іншій гілці блокчейну, що має прямі операційні наслідки для дійсності своїх транзакцій та участі в консенсусі.

Найбільш чутлива частина патчу стосується системи змішування Decred, заснованої на протоколі CoinShuffle++, активному на основній мережі з 2019 року. Зміни в dcrwallet оновлюють протокол mixclient і підвищують версію парування, що використовується для встановлення сумісності між учасниками сесій змішування, запобігаючи таким чином можливій атаці деанонімізації.

Як наслідок, гаманці, оновлені до версії 2.1.6, більше не зможуть здійснювати змішування з попередніми версіями, і навпаки. Decred тому вимагає від усіх користувачів dcrwallet перейти на нову версію, щоб продовжувати брати участь у сесіях. Розробники також виправили проблему в розподілі провини між пірінгами, залученими до змішування: раніше пір, який неправильно ініціював звинувачення, міг уникнути покарання. Також було вирішено питання видалення повідомлень з mixpool після закінчення сесії.

Окрім змішування, патч вводить більш суворі перевірки управління транзакціями, отриманими з мережі. Оновлений гаманець відмовляється реєструвати транзакцію, якщо перевірка підпису не проходить для витрат, що належать йому, і відключає пір SPV, які оголошують транзакції з вхідними даними, які, здавалося б, належать гаманцю, але з недійсними підписами. Також була додана валідація Merkle-root, яка раніше була відсутня, для блоків, оброблених у режимі SPV.

Ці виправлення доповнюють виправлення на рівні мережі проти атак denial-of-service, включених у dcrd v2.1.6. Примітки до випуску не вказують, чи були виявлені вразливості насправді експлуатовані до публікації патчу.

Функції конфіденційності зберегли DCR в центрі обговорень про криптовалюти, орієнтовані на анонімність. Під час ралі в січні 2026 року, присвяченого токенам конфіденційності, DCR зріс приблизно на 60% за сім днів, на фоні зростаючого попиту на Monero, Dash та інші подібні активи.

Ставлення бірж до цих активів залишається неоднорідним: Binance, після оголошення про видалення деяких криптовалют, пов'язаних з конфіденційністю в Європі в 2023 році, потім змінив свою позицію, залишивши доступними Decred, Dash, Zcash, PIVX, Navcoin, Secret та Verge у Франції, Італії, Польщі та Іспанії, тоді як обмеження залишаються активними для інших активів. Щодо програмного забезпечення, документація Decred уточнює, що мобільні гаманці не підтримують змішування та участь у proof-of-stake, функції, зарезервовані для версій для настільних ПК.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.