Логотип
Баннер в шапке 1
Баннер в шапке 2
Проект

Для Open Trading Network проведён аудит функциональной уязвимости смарт-контракта

Заказчики: Open Trading Network (OTN Foundation)

Информационные технологии

Продукт: Проекты внешнего аудита ИТ и безопасности (в тч PCI DSS и СУИБ)

Дата проекта: 2017/03 — 2017/09
Технология: ИБ - Антивирусы
подрядчики - 314
проекты - 1330
системы - 446
вендоры - 135
Технология: ИБ - Антиспам
подрядчики - 275
проекты - 1119
системы - 233
вендоры - 96
Технология: ИБ - Аутентификация
подрядчики - 322
проекты - 1002
системы - 486
вендоры - 289
Технология: ИБ - Межсетевые экраны
подрядчики - 391
проекты - 1466
системы - 734
вендоры - 263
Технология: ИБ - Предотвращения утечек информации
подрядчики - 281
проекты - 1122
системы - 429
вендоры - 248
Технология: ИБ - Резервное копирование и хранение данных
подрядчики - 226
проекты - 783
системы - 315
вендоры - 147
Технология: ИБ - Средства шифрования
подрядчики - 278
проекты - 856
системы - 478
вендоры - 246

Компания Digital Security, специализирующаяся на анализе защищенности систем и исследованиях в области ИБ, объявила в ноябре 2017 года о завершении работ по комплексному аудиту кода смарт-контракта Open Trading Network, компании, разрабатывающей собственный блокчейн.

Поскольку данный проект реализован на блокчейне Ethereum, вопросами первостепенной важности являются прозрачность и защищенность бизнес-процессов для его участников. Open Trading Network уделяет особое внимание безопасности интерфейсов взаимодействия с участниками.

Для аудита проекта были привлечены специалисты компании Digital Security, обладающие экспертизой в сфере безопасности смарт-контрактов и блокчейн-технологий. Open Trading Network стремится выстраивать взаимоотношения с клиентами и партнерами максимально прозрачно, а потому компания разместила отчет о найденных в рамках аудита уязвимостях в открытом доступе на Github.

В частности, в ходе работ выяснилось, что совместимый токен подвержен атаке Short Address Attack, позволяющей за счет особенностей EMV менять логику работы контракта. Ее реализация позволила бы злоумышленнику перевести со счета жертвы гораздо больше токенов, чем предполагалось.

Кроме того, была обнаружена функциональная уязвимость смарт-контракта - возможность рассинхронизации данных об объекте. Иными словами, легитимное использование контракта могло привести к его блокировке.

Все уязвимости с высокой степенью риска были оперативно закрыты.