Vulnerabilidade do SP1 corrigida após risco de provas inválidas
A Succinct divulgou uma vulnerabilidade de confiabilidade de alta gravidade em seu sistema de provas de conhecimento zero SP1. A falha afetava os verificadores nativos em Rust das versões 6.0.0 a 6.8.0 e poderia ter permitido que a Prover Network da mainnet aceitasse provas de execuções inválidas. A vulnerabilidade do SP1 ocorria porque os verificadores checavam os rótulos dos dados sem confirmar se a quantidade de elementos armazenados correspondia às dimensões declaradas. As verificações de formato fixo do Groth16 e do Plonk, assim como os verificadores Solidity on-chain, não foram afetados. Em 24 de setembro, a Succinct lançou a versão 6.8.1, que adiciona uma verificação do comprimento durante a desserialização, e a implantou na mainnet. O problema foi reportado por Vitalis Salis por meio da Immunefi. Usuários de verificadores nativos em Rust que aceitam provas de provers não confiáveis devem atualizar para a versão 6.8.1.
Neutral
A vulnerabilidade representava um risco de segurança significativo: se explorada, poderia fazer com que os verificadores nativos de SP1 em Rust afetados aceitassem provas de execução inválidas, potencialmente comprometendo aplicações que dependem deles. No entanto, o relatório afirma que a Succinct lançou e implementou uma correção, enquanto as verificações de Groth16 e Plonk com formato fixo e os verificadores Solidity on-chain não foram afetados. Isso limita os indícios de uma ameaça ampla e contínua ao mercado. O efeito direto mais provável é a necessidade de ações operacionais pontuais por parte dos usuários que executam os verificadores Rust afetados, e não uma pressão imediata sobre os preços das criptomoedas. No curto prazo, os traders podem acompanhar mais de perto os projetos relacionados ao SP1, a atividade de verificação e quaisquer comunicados sobre exploração da vulnerabilidade ou perdas. No longo prazo, o incidente pode reforçar o escrutínio das implementações de sistemas de provas e aumentar a demanda por auditorias, atualizações de versões e verificações de defesa em profundidade. Vulnerabilidades semelhantes em infraestruturas podem provocar fortes oscilações quando há perda de fundos ou interrupção de serviços em toda a rede; na ausência de indícios de exploração ou de interrupção duradoura neste caso, uma avaliação neutra do mercado é mais apropriada.