De två första kända exploiterna mot levande ZK-kretsar hände precis, och de var inte subtila, underbegränsade buggar. De var Groth16-verifierare som placerades utan att ha slutfört den pålitliga installationsceremonin. En var white-hat räddad för ~1,5 miljoner dollar, den andra tömdes för 5 ETH. 🧵

Båda protokollen använde Circom + snarkjs, den vanligaste stacken för Groth16-utplaceringar. Insekten? De hoppade över fas 2 av den betrodda uppsättningen: det kretsspecifika bidragssteget. Utan den sätts verifieringsnyckelns γ och δ parametrar till samma värde: G2-generatorerna

Varför γ = δ förstör allt? Groth16-verifieringskontroller: e(-A, B) · e(α, β) · e(vk_x, γ) · e(C, δ) = 1 När γ = δ kan en angripare sätta C = -vk_x för att avbryta båda termerna, och sedan sätta A = α, B = β för att avbryta resten. Ekvationen blir 1 · 1 = 1. Ingen vittne behövs.

Foom-protokollet (~1,4 miljoner dollar) var en lotteri-dApp på Base och Ethereum. En whitehat-räddning av @duha_real och en annan oberoende whitehat tömde kontrakten innan en illvillig aktör hann göra det, och slog ihop förfalskade bevis för att extrahera 99,97–99,99 % av tokens.

Veilprotokollet (~5 000 dollar) var en Tornado Cash-förgrening på basen. En angripare tömde hela poolen i en transaktion, 29 förfalskade uttag med hjälp av dummy-nullifierare som 0xdead0000, och extraherade poolens fulla saldo på 2,9 ETH.

Det här är snarkjs som fungerar som de är designade. När du kör groth16-uppsättningen initierar den γ och δ till G2-generatorn som en platshållare. Du förväntas köra zkey contribute för att slumpa δ. Hoppa över det steget, och din verifierare accepterar alla bevis.

Det skrämmande: detta var inte en djup kryptografisk brist eller en subtil kretsbugg. Det var ett misstag i distributionen: att missa ett CLI-kommando. Och den stod i produktion med verkliga medel i risk.

Slutsatser: - Granska alltid distributionsskript, inte bara kretskod - Kontrollera dina verifieringsnycklar: om vk_gamma_2 == vk_delta_2 är dina bevis förfalskningsbara - Vi samarbetade med @DedaubSecurity för att skanna EVM-kedjor efter andra berörda kontrakt, inga högvärdiga hittades, men några finns