关于关键安全漏洞的声明

发布时间：2020年4月8日
发布者：m52go

事件概述

大约24小时前，我们发现攻击者能够利用Bisq交易协议中的一个缺陷，针对个别交易窃取交易资金。据我们了解，共有7名不同受害者被盗，损失约3个BTC和4000个XMR。目前已知的情况是，唯一受影响的市场是XMR/BTC市场，所有受影响交易都发生在过去12天内。

技术背景

Bisq v1.2版本于2019年10月下旬发布，更新了其交易协议。该版本通过移除多重签名托管中拥有第三个密钥的仲裁人，提高了去中心化程度。这些仲裁人被两个新角色取代：调解人和不在多重签名托管中持有密钥的仲裁人。由于不再需要可信第三方，新的交易协议还要求交易方在硬时间限制后将比特币交易资金转移到Bisq的“捐赠地址”，以解决交易僵局。

漏洞详情

该捐赠地址由Bisq DAO设置，并由DAO利益相关者批准。Bisq软件在签署并发送时间锁定的支付交易给交易对手之前，没有验证交易的支付地址实际上是否是DAO设置的Bisq捐赠地址。简而言之，此漏洞利用是Bisq交易执行方式中存在缺陷的结果，而不是资金存储方式的问题（即，由于Bisq是P2P的，不存在蜜罐）。

应对措施

发现此攻击后，Bisq开发人员立即使用警报密钥禁用Bisq上的所有交易。交易协议中的缺陷已在当前发布的Bisq v1.3.0中修复。Bisq是真正的点对点网络，因此用户可能绕过警报密钥功能，但我们强烈不建议这样做。

后续计划

Bisq DAO（Bisq的融资机制）将很快创建一项提案，旨在从未来的交易收入中偿还7名受害者。

总结与反思

安全一直是Bisq的首要任务，但此事件表明它并不完美。项目正在评估几种方法来进一步加强安全审查和实践，并将很快详细说明。在主网运行的过去4年中，Bisq从未需要使用警报密钥在Bisq节点上启用“安全模式”，这对Bisq DAO来说是一个前所未有的情况。Bisq开发社区对此安全故障表示诚挚歉意。