八月更新阻止加密钱包Vultisig的关键私钥泄露

Vultisig是一款使用共享签名的加密钱包，ChainSecurity的安全研究人员发现其ECDSA签名实现中处理了一个关键的停止信号错误。

研究人员在10月21日的披露中描述了如何在错误发生后继续操作可能让一个已经被攻破的签名者恢复完整的私钥。

Android和iOS的维护者描述了在库识别到恶意参与者后重试的代码，并添加了处理以停止这些重试并警告用户。这些更改出现在后续的代码库发布说明中。

要求多个设备提供保护，仅在软件在一个参与者开始不当行为时保留该要求时才有效。

多方计算钱包（MPC钱包）在密钥份额之间分配签名权限。足够的份额合作以在正常操作中生成标准区块链签名，而无需组装完整的私钥。

在需要两个参与者的双设备安排中，攻破一个应使攻击者依赖于另一个设备的批准。

披露的缺陷涉及ECDSA签名，并要求初始的妥协。攻击者可以发送许多恶意签名消息，并观察另一个签名者是否返回错误。

这些响应泄露了可重用的内部协议种子的一部分，最终使得恢复另一个份额和完整密钥成为可能，ChainSecurity表示。

该种子是一个内部设置秘密，库假设在关键错误发生后进一步签名将停止，直到种子被轮换。该应用程序显示了一个通用错误，并未强制执行该响应。

Vultisig的历史ECDSA流程可能通过重复的错误响应泄露密钥材料；八月更新现在停止重试并识别被攻破的设备。

安全后果是，即使失败的签名尝试没有产生可用的交易签名，它仍然可能很重要。

如果继续交换揭示更多秘密信息，仅拒绝交易并不能保持签名者之间承诺的分离。该应用程序必须对协议失败本身做出响应。

八月更改展示了什么

Android更改（#5658）和iOS更改（#5235）均于8月21日合并，早于公开披露两个月。

它们的描述表示，旧代码在没有单独处理恶意方禁止错误的情况下，将签名失败与库的成功结果进行比较。签名例程最多可以重试三次，而用户收到的是通用失败消息。

该重试计数并未确定恢复密钥需要多少消息，或攻击者需要多少会话。

Android代码更改和iOS更改在会话设置、消息处理和签名完成期间识别DKLS签名库的恶意方错误代码100--109。

两者将标记的参与者映射到设备标识符，携带专用错误超出自动重试，并显示针对再次使用该设备的本地化警告。在Android上，该异常还绕过了中继恢复。

这些更改表明，应用程序区分参与者的加密裁决与普通签名失败。

适合临时失败的重试行为在库告诉调用者停止与恶意签名者交互时可能变得危险。

iOS v1.45.71的GitHub说明，日期为8月21日，列出了#5235。Android v1.0.118的发布，日期为8月25日，列出了#5658。

钱包计数和审计范围需要上下文

Vultisig的保险库描述区分谁控制签名者。快速保险库使用一个用户设备，VultiServer持有第二份额并共同签名。安全保险库使用两个或更多用户持有的设备，而不使用VultiServer。

提供商辅助钱包和分布在用户自己设备上的钱包都可以使用分布式签名，但它们的操作依赖性不同。两个参与者在签名交换中也不意味着保险库总共有两个份额。

审查的披露和应用材料未提供完整的受影响版本和保险库配置矩阵。

Vultisig的安全文档表示，Trail of Bits在2024年审计了Silence Laboratories的DKLS23库。它表示，移动和桌面应用程序审计报告将在发布时链接。

在披露时，ChainSecurity表示尚未审查Vultisig的修复或审计协议的其他部分，因此这些修复仍然不在该评估范围内。

有用的修复细节将连接受影响的配置与已发布版本，并解释在自动和用户启动的重启后如何执行。覆盖这些行为的审查将解决此处描述的应用程序级失败。

保护持有者被承诺，执行取决于应用程序在整个签名过程中强制库的停止条件，包括在用户在失败后重新开始时。