Có hay không khả năng EOS trì hoãn ngày ra mắt mainnet?

Qihoo 360, gã khổng lồ về an ninh Internet của Trung Quốc, vừa công bố thông báo rằng việc EOS trì hoãn ngày ra mắt mainnet sắp tới được lên lịch vào ngày 2 tháng 6 năm 2018 có thể xảy ra do một loạt các lỗ hổng bảo mật có nguy cơ cao có thể làm tê liệt toàn bộ mạng EOS.

Cập nhật: Trung tâm truyền thông Trung Quốc Jinse báo cáo rằng lỗ hổng bảo mật được xác định bởi Qihoo 360 đã được phân lập và giải quyết bởi nhóm phát triển EOS lúc 2 giờ chiều ngày 29.

Thông báo ngày 29 tháng 5 cho biết nhóm 360 đã xác định một lỗ hổng bên trong mã EOS sẽ làm cho các node trong mạng EOS có thể bị xâm phạm từ xa:

“Gần đây, Qihoo 360 Vulcan đã phát hiện ra một loạt các lỗ hổng bảo mật rủi ro cao trong nền tảng blockchain EOS. Xác minh rằng một số lỗ hổng có thể thực thi từ xa mã tùy ý trên node EOS. Tức là, các cuộc tấn công từ xa có thể trực tiếp kiểm soát và tiếp nhận tất cả các node chạy trên EOS.”
Qihoo 360 tuyên bố EOS có khả năng bị “Supernode Attack”

Nhóm phát triển EOS hiện đang tăng tốc hướng đến việc ra mắt nền tảng EOS ngày 2 tháng 6, với các sàn giao dịch như Binance, Bitfinex và Kucoin.

Tuy nhiên, việc ra mắt có thể bị gián đoạn nếu nhóm phát triển EOS không thể sửa lỗi trục trặc được xác định bởi Qihoo 360 trước ngày khởi chạy. Theo Qihoo 360, các cá nhân độc hại có thể xuất bản hợp đồng thông minh chứa mã có khả năng tạo ra một cuộc tấn công.

Về vấn đề này, lỗ hổng được xác định bởi nhóm Qihoo 360 có thể được sử dụng để đóng gói lại một hợp đồng độc hại vào một khối mới, sau đó sẽ khiến tất cả các node trong mạng được điều khiển từ xa. Sự kiện này, có thể là thảm họa đối với mạng EOS:

“Vì hệ thống node được điều khiển hoàn toàn, kẻ tấn công có thể “làm bất cứ điều gì nó muốn”, chẳng hạn như lấy cắp chìa khóa của node siêu dữ liệu EOS, kiểm soát các giao dịch crypto của mạng EOS; và có được dữ liệu tài chính và quyền riêng tư khác trong hệ thống node tham gia mạng EOS – chẳng hạn như khóa của người dùng được lưu trữ trong ví, hồ sơ người dùng chính, dữ liệu bảo mật và hơn thế nữa ”.

Sự cố như vậy, theo Qihoo 360, sẽ khiến những kẻ tấn công có thể nắm bắt một node trong mạng EOS thành một botnet.

Việc khởi động EOS Mainnet có thể bị trì hoãn

Qihoo 360 đã thông báo cho các quan chức EOS vào ngày 29 và hiện đang tích cực làm việc với nhóm phát triển EOS để đảm bảo vấn đề được khắc phục trước khi khởi chạy. Tuy nhiên, có một cơ hội rằng việc khởi chạy có thể bị trì hoãn nếu giải pháp không được tìm thấy trước ngày 2 tháng 6:

“Vào sáng sớm ngày 29, 360 lần đầu tiên báo cáo lỗ hổng cho các quan chức của EOS và giúp họ sửa chữa các rủi ro về bảo mật. Người phụ trách mạng EOS cho biết mạng EOS sẽ không được chính thức ra mắt cho đến khi những vấn đề này được khắc phục.”

Lỗi bảo mật được cho là rõ ràng nằm trong máy ảo hợp đồng thông minh trên nền tảng EOS, nhưng nhóm Qihoo 360 vẫn chưa xuất bản bất kỳ tài liệu nào liên quan đến vấn đề bảo mật.

Roshan Abraham, Giám đốc Công nghệ tại EOS Authority, nhà sản xuất EOS Authority, nói rằng mặc dù EOS Authority không đưa ra bất kỳ thông tin cụ thể nào về lỗ hổng bảo mật, nhưng dường như dự án EOS không có vấn đề về VM:

Máy ảo được sử dụng trong EOS là web assembly. Web assembly được tích cực phát triển bởi Google, Microsoft và các công ty lớn khác. Rất khó có vấn đề về VM.

Sự hợp tác giữa nhóm EOS và Qihoo 360 có thể sẽ mang lại lợi ích cho dự án EOS, cho phép EOS tận dụng trải nghiệm và nguồn lực của người khổng lồ bảo mật để tăng cường an ninh tổng thể của blockchain EOS trước ngày ra mắt dự kiến.

Phụ lục: Thông tin do Jinse cung cấp cho thấy rằng nhóm 360 đã có thể xác nhận lổ hổng vào lúc 1 giờ chiều ngày 28 tháng 5 và sau đó báo cáo lỗ hổng bảo mật cho nhóm phát triển EOS lúc 10 giờ tối cùng ngày. EOS đã yêu cầu 360 không tiết lộ chi tiết về lỗ hổng bảo mật và sau đó đã sửa chữa vấn đề bảo mật trước 2 giờ chiều vào ngày 29.