Stellar Veritas: различия между версиями
La Ancapo (обсуждение | вклад) Нет описания правки |
La Ancapo (обсуждение | вклад) Нет описания правки |
||
| Строка 1: | Строка 1: | ||
[[Stellar]]-экосистема [[Montelibero]] уязвима к supply chain атакам на код, подписывающий транзакции: у [[Sunce]] сотни с трудом поддающихся аудиту зависимостей скачиваемых с npm (на котором регулярно обнаруживаются малвари в библиотеках), Stellar laboratory уязвима к атакам на сервер (удобная мишень для хакерских атак, имеется обширная история взломов кастодиальных решений с серьёзными оборотами) и на браузер (по несколько RCE уязвимостей в год находят в движках Google и Mozilla), MMWB и Lobstr вообще кастодиальные, что в дополнение к вышеозвученным рискам добавляет вероятность скама со стороны хостеров и их контракторов. | |||
Необходим минималистичный, всецело доступный для аудита и устойчивый к злонамеренным входным данным показыватель-подписывальщик транзакций, чтобы только он мог иметь доступ к закрытым ключам, и в будущем, возможно, быть вынесен на air gapped устройство для улучшения изоляции от основных векторов атак на кошельки. | Необходим минималистичный, всецело доступный для аудита и устойчивый к злонамеренным входным данным показыватель-подписывальщик транзакций, чтобы только он мог иметь доступ к закрытым ключам, и в будущем, возможно, быть вынесен на air gapped устройство для улучшения изоляции от основных векторов атак на кошельки. | ||
https://forge.voleum.cc/la_ancapo/stellar-veritas | |||
Текущая версия от 00:58, 29 января 2026
Stellar-экосистема Montelibero уязвима к supply chain атакам на код, подписывающий транзакции: у Sunce сотни с трудом поддающихся аудиту зависимостей скачиваемых с npm (на котором регулярно обнаруживаются малвари в библиотеках), Stellar laboratory уязвима к атакам на сервер (удобная мишень для хакерских атак, имеется обширная история взломов кастодиальных решений с серьёзными оборотами) и на браузер (по несколько RCE уязвимостей в год находят в движках Google и Mozilla), MMWB и Lobstr вообще кастодиальные, что в дополнение к вышеозвученным рискам добавляет вероятность скама со стороны хостеров и их контракторов.
Необходим минималистичный, всецело доступный для аудита и устойчивый к злонамеренным входным данным показыватель-подписывальщик транзакций, чтобы только он мог иметь доступ к закрытым ключам, и в будущем, возможно, быть вынесен на air gapped устройство для улучшения изоляции от основных векторов атак на кошельки.
