Все реализации Zcash (ZEC) и большинство его форков содержат программную ошибку, которая может привести к утечке метаданных, позволяющих установить IP полных нод по их защищенным адресам (zaddr). Об этом сообщает Cointelegraph.
Основной разработчик Komodo (KMD) Дюк Лето (Duke Leto) раскрыл этот баг в своем блоге, опубликованном на его личном сайте. Для отслеживания проблемы 27 октября багу был присвоен код Общих уязвимостей и рисков (CVE). Лето пояснил:
«Ошибка актуальна для всех защищенных адресов с момента создания Zcash и протокола Zcash и присутствует во всех форках исходного кода Zcash. Она позволяет обнаружить IP-адрес полных нод, которые владеют защищенным адресом (zaddr). То есть, Алиса, дающая Бобу zaddr, который будет оплачен, фактически может позволить Бобу обнаружить IP-адрес Алисы. Это резко противоречит дизайну протокола Zcash».
В соответствии с объявлением, все, кто опубликовал свой защищенный адрес или предоставил его третьей стороне, могут быть затронуты уязвимостью. Лето утверждает, что пользователи должны рассматривать их «IP-адрес и данные геолокации, связанные с ним, как привязанные к […] zaddr».
По словам Лето, уязвимость не касается тех пользователей, которые никогда не использовали защищенные адреса или использовали их только через сеть Tor или только для отправки средств. Кроме того, Лето также утверждает, что Zcash не является единственной затронутой криптовалютой и представил неисчерпывающий список.
Криптовалюты, включенные в список, — это Zcash (ZEC), Hush (HUSH), Pirate (ARRR), Horizen (ZEN), Zero (ZER), VoteCoin (VOT), Snowgem (XSG), BitcoinZ (BTCZ), LitecoinZ (LTZ), Zelcash (ZEL), Ycash (YEC), Arrow (ARW), Verus (VRSC), Bitcoin Private (BTCP), ZClassic (ZCL), Anon (ANON) и все смарт-цепочки Komodo (KMD). Лето также указывает, что проект Komodo уже отключил функцию защищенных адресов, что означает, что KMD больше не содержит ошибку.
