Pesquisadores de segurança da ChainSecurity identificaram um defeito crítico na implementação de assinatura ECDSA da carteira Vultisig, que utiliza assinatura compartilhada entre dispositivos. O problema, descrito em divulgação de 21 de outubro, permitia que um atacante que já controlasse um dispositivo comprometesse a chave privada completa ao enviar múltiplas mensagens de assinatura maliciosas e observar respostas de erro. O código antigo comparava falhas de assinatura com o resultado de sucesso da biblioteca, sem tratar especificamente erros de participante malicioso, permitindo até três tentativas de repetição. Em resposta, as equipes de manutenção Android (pull request #5658) e iOS (pull request #5235) incorporaram, em 21 de agosto, tratamento específico para os códigos de erro 100‑109, associando o participante ao identificador do dispositivo, interrompendo novas tentativas e exibindo aviso localizado ao usuário. As notas de versão do Android v1.0.118, datada de 25 de agosto, e do iOS v1.45.71, datada registram essas alterações. A vulnerabilidade evidencia que, mesmo sem gerar uma assinatura utilizável, tentativas de assinatura falhas podem revelar informações internas que comprometem a separação de chaves entre os signatários.
CryptoAlerta — análise de criptomoedas e mercado em tempo real