Tecnologia · Segurança digital
Vultisig mostrava ‘erro genérico’ enquanto a biblioteca gritava ‘malicioso’, e o hacker levava a chave
Uma falha na carteira MPC permitia recuperar a chave privada completa mandando falhas de assinatura em sequência.
A carteira Vultisig, que distribui a assinatura entre vários aparelhos, tinha falha que permitia a um invasor já presente em um dispositivo recuperar a chave privada completa. Pesquisadores da ChainSecurity identificaram o erro no tratamento da assinatura ECDSA e divulgaram o achado em 21 de outubro.
As correções para Android e iOS foram mescladas em 21 de agosto, dois meses antes da divulgação. O código antigo repetia a assinatura até três vezes mesmo após a biblioteca sinalizar um participante malicioso, e o usuário só via erro genérico. As repetições vazavam pedaços de uma semente interna, permitindo recuperar a outra parte da chave.