CryptoJS con RNG débil detrás de $5.7 millones en pérdidas: afecta a cinco aplicaciones de monederos criptográficos
Análisis CyberFlows
Esta noticia es importante porque resalta la importancia de la seguridad criptográfica en las aplicaciones de monederos criptográficos. La función CryptoJS.lib.WordArray.random() es un ejemplo de cómo un generador de números aleatorios débil puede ser explotado por atacantes para obtener acceso no autorizado a fondos criptográficos. Los profesionales de seguridad deben estar al tanto de estas vulnerabilidades y tomar medidas para garantizar que las aplicaciones que utilizan criptografía tengan generadores de números aleatorios seguros. Además, esta noticia destaca la necesidad de realizar pruebas de seguridad exhaustivas y auditorías de código para identificar y corregir vulnerabilidades antes de que sean explotadas.
Acciones recomendadas: Revisar las aplicaciones de monederos criptográficos para asegurarse de que utilicen generadores de números aleatorios seguros | Realizar pruebas de seguridad y auditorías de código para identificar vulnerabilidades | Implementar medidas de seguridad adicionales, como autenticación de dos factores y monitoreo de transacciones
Análisis editorial de CyberFlows. Las acciones recomendadas son orientación general; evalúa siempre tu contexto específico.
Resumen
Se ha identificado que la función CryptoJS.lib.WordArray.random() es el generador de números aleatorios débil detrás de las pérdidas en la cartera Ill Bloom. Esta función, introducida hace 12 años, proporciona poca entropía, lo que afecta a las aplicaciones de monederos que generan frases de recuperación. El análisis en cadena de Coinspect estima que el robo total es de al menos $5.7 millones en dos oleadas desde finales de mayo.
Coinspect has identified CryptoJS.lib.WordArray.random() as the weak random number generator behind the Ill Bloom wallet drains. Introduced in the JavaScript cryptography library 12 years ago, the function supplied weak entropy that affected wallet apps used to generate recovery phrases. Coinspect's on-chain analysis puts the measured theft across two sweeps since late May at a lower bound of