八月更新阻止加密錢包 Vultisig 的關鍵私鑰洩漏

Vultisig 是一款使用共享簽名的加密錢包，ChainSecurity 的安全研究人員發現其 ECDSA 簽名實現中錯誤處理了一個關鍵的停止信號。

研究人員在 10 月 21 日的披露中描述了如何在錯誤發生後繼續操作可能讓一個已經被攻擊者控制的簽名者恢復完整的私鑰。

Android 和 iOS 的維護者描述了在庫識別出惡意參與者後重試的代碼，然後添加了處理以停止這些重試並警告用戶。這些變更出現在隨後的代碼庫發布說明中。

要求多個設備提供的保護僅在當一個參與者開始不當行為時，軟件能夠保持該要求的情況下有效。

多方計算錢包（MPC 錢包）在密鑰份額之間分配簽名權限。足夠的份額合作以在正常操作中生成標準區塊鏈簽名，而無需組裝完整的私鑰。

在需要兩個參與者的兩設備安排中，攻擊者控制一個設備應使其依賴於另一設備的批准。

披露的缺陷涉及 ECDSA 簽名並需要初始的妥協。攻擊者可以發送許多惡意簽名消息並觀察另一簽名者是否返回錯誤。

根據 ChainSecurity，這些響應揭示了可重用的內部協議種子的一部分，最終使得恢復另一份額和完整密鑰成為可能。

該種子是一個內部設置秘密，庫假設在關鍵錯誤後進一步簽名將停止，直到種子被旋轉。應用程序顯示了一個通用錯誤，並未強制執行該響應。

Vultisig 的歷史 ECDSA 流程可能通過重複的錯誤響應洩漏密鑰材料；八月的更新現在停止重試並識別被攻擊的設備。

安全後果是，即使失敗的簽名嘗試未產生可用的交易簽名，仍然可能產生影響。

如果繼續交換揭示更多秘密信息，僅拒絕交易並不能保護簽名者之間承諾的分離。應用程序必須對協議失敗本身做出響應。

八月變更的示範

Android 變更 (#5658) 和 iOS 變更 (#5235) 都於 8 月 21 日合併，距公開披露兩個月。

它們的描述表示舊代碼將簽名失敗與庫的成功結果進行比較，而未單獨處理惡意方禁止錯誤。簽名例程最多可以重試三次，而用戶收到的是通用失敗消息。

該重試計數並未確定需要多少消息才能恢復密鑰，或攻擊者需要多少會話。

Android 代碼變更和 iOS 變更在會話設置、消息處理和簽名完成期間識別 DKLS 簽名庫的惡意方錯誤代碼 100--109。

兩者將被標記的參與者映射到設備標識符，攜帶專用錯誤超過自動重試，並顯示針對再次使用該設備的本地化警告。在 Android 上，該異常還繞過了中繼恢復。

這些變更共同顯示應用程序區分參與者的加密裁決與普通簽名失敗。

適合臨時失敗的重試行為在庫告訴調用者停止與惡意簽名者互動時可能變得危險。

iOS v1.45.71 的 GitHub 註釋，日期為 8 月 21 日，列出了 #5235。Android v1.0.118 的發布，日期為 8 月 25 日，列出了 #5658。

錢包計數和審計範圍需要背景

Vultisig 的保險庫描述區分了誰控制簽名者。快速保險庫使用一個用戶設備，VultiServer 持有第二份額並共同簽名。安全保險庫使用兩個或更多用戶持有的設備，無需 VultiServer。

提供商協助的錢包和分散在用戶自己設備上的錢包都可以使用分佈式簽名，但它們的操作依賴性不同。簽名交換中的兩個參與者也不意味著保險庫僅有兩個份額。

所審查的披露和應用材料未提供完整的受影響版本和保險庫配置矩陣。

Vultisig 的安全文檔表示 Trail of Bits 在 2024 年審計了 Silence Laboratories 的 DKLS23 庫。它表示移動和桌面應用程序的審計報告將在發布時鏈接。

在披露時，ChainSecurity 表示尚未審查 Vultisig 的修復或審計協議的其他部分，因此這些修復仍然不在該評估之內。

有用的修復細節將連接受影響的配置與已發佈版本，並解釋在自動和用戶啟動的重啟後的執行。涵蓋這些行為的審查將解決此處描述的應用層失敗。

保護持有者被承諾執行取決於應用程序在整個簽名過程中強制執行庫的停止條件，包括用戶在失敗後重新開始時。