Dua eksploitasi pertama yang diketahui terhadap sirkuit ZK langsung baru saja terjadi, dan itu bukan bug yang kurang dibatasi secara halus. Mereka adalah verifikator Groth16 yang dikerahkan tanpa menyelesaikan upacara penyiapan tepercaya. Satu diselamatkan dengan topi putih seharga ~$1,5 juta, yang lainnya dikeringkan seharga 5 ETH. 🧵

Kedua protokol menggunakan Circom + snarkjs, tumpukan paling umum untuk penyebaran Groth16. Serangganya? Mereka melewatkan Fase 2 dari pengaturan tepercaya: langkah kontribusi khusus sirkuit. Tanpa itu, parameter γ dan δ kunci verifikasi keduanya diatur ke nilai yang sama: gen G2

Mengapa γ = δ merusak segalanya? Pemeriksaan verifikasi Groth16: e(-A, B) · e(α, β) · e(vk_x, γ) · e(C, δ) = 1 Ketika γ = δ, penyerang dapat mengatur C = -vk_x untuk membatalkan kedua istilah, lalu mengatur A = α, B = β untuk membatalkan sisanya. Persamaan menjadi 1 · 1 = 1. Tidak perlu saksi.

Protokol Foom (~$1.4M) adalah dApp lotere di Base dan Ethereum. Penyelamatan whitehat oleh @duha_real dan whitehat independen lainnya menguras kontrak sebelum aktor jahat bisa, mengulang bukti palsu untuk mengekstrak 99,97–99,99% token.

Protokol Veil (~$5K) adalah garpu Tornado Cash di Base. Seorang penyerang menguras seluruh pool dalam satu transaksi, 29 penarikan palsu menggunakan pembatalan dummy seperti 0xdead0000, mengekstrak saldo penuh 2,9 ETH pool.

Ini adalah snarkjs yang bekerja seperti yang dirancang. Saat Anda menjalankan pengaturan groth16, itu menginisialisasi γ dan δ ke generator G2 sebagai placeholder. Anda diharapkan untuk menjalankan zkey berkontribusi untuk mengacak δ. Lewati langkah tersebut, dan pemverifikasi Anda akan menerima bukti apa pun.

Bagian yang menakutkan: ini bukan cacat kriptografi yang mendalam atau bug sirkuit yang halus. Itu adalah kesalahan penyebaran: kehilangan satu perintah CLI. Dan itu duduk dalam produksi dengan dana riil berisiko.

Kesimpulan: - Selalu tinjau skrip penyebaran, bukan hanya kode sirkuit - Periksa kunci verifikasi Anda: jika vk_gamma_2 == vk_delta_2, bukti Anda dapat dipalsukan - Kami bekerja dengan @DedaubSecurity untuk memindai rantai EVM untuk kontrak lain yang terpengaruh, tidak ada yang bernilai tinggi yang ditemukan, tetapi ada beberapa