Уязвимость протокола может парализовать систему Bitcoin

Уязвимость протокола может парализовать систему Bitcoin

Ученые говорят, что они обнаружили фундаментальную уязвимость в электронной валюте Bitcoin, которая могла, в конечном счете, остановить ее развитие, если бы разработчики изменили принцип поощрения пользователей.



Децентрализованная система Bitcoin использует криптографию с открытым ключом и пиринговую сеть для регистрации полноправного владельца электронной валюты. Когда, к примеру, Алиса платит Бобу 50 монет, она вводит платежный пароль и передает детали сделки на другие точки. Затем другие участники получают небольшую плату за проверку платежа, которая производится с помощью обращения хеша, сгенерированного транзакционной записью, сообщает xakep.ru.

С ростом валюты схема, позволяющая создавать деньги из ничего, закончится и процессом проверки других транзакций займутся одиночных узлы Bitcoin. Здесь-то и находится уязвимость, которая могла стать камнем преткновения. Если поощрять каждого участника только за проверку предложенной транзакции, они не захотят передавать транзакции другим. Вместо этого, они будут держать в секрете все проведенные сделки, чтобы не делиться деньгами с другими.

"Последствия такого поведения могут быть разрушительными", - написали в своем докладе исследователь. "Если каждая транзакция будет происходить на одной точке, процесс авторизации займет очень долгое время".

Шахар Добзински, один из авторов доклада, рассказал, что безопасность системы Bitcoin не пострадает от этой уязвимости. Использование шифрования гарантирует, что каждая транзакция будет авторизована только при участии полноправных владельцев Bitcoin. Это защищает от краж, а также от использования пользователем одной монеты дважды.

Система также не подтверждает транзакцию, если большинство ЦП сети не подтвердили ее, а не большинство контрольных нодов. Это предотвращает атаки типа "Sybil", в которых для разрушения базовых систем используются ложные идентификационные данные.

"Это проблема другого порядка", - сказал Дорзински, ученый Университета Корнелла. "Боюсь, что большинство ЦП могут и не знать о транзакции".

В докладе предлагается измененная схема поощрений, с помощью которой все участники процесса проведения транзакции получают плату за ее проверку. Контрольные точки будут составлять единую цепь, участвующую в проведении каждой транзакции. Если какой-либо участник выходит из этого процесса, все остальные участники получат меньшее вознаграждение. Для предотвращения атак типа Sybil, в которых каждый участник передает одну и ту же транзакцию несколько раз, предлагается отменить поощрения когда число связей в цепочке достигает определенного предела.

Помимо Добзински над докладом работали ученый Университета Корнелла Сигал Орег и исследователи Microsoft Мош Бабайофф и Авив Зохар. Они сравнили свое решение с Конкурсом DARPA 2009 года, в котором участникам необходимо было найти 10 красных воздушных шаров, расположенных в разных частях Соединенных Штатов. В итоге команда из Технологического Института Массачусетс потратила 40 000 долларов, используя систему вознаграждений всех участников, которые помогали им в соревновании.

Тот, кто находил шары, получал по 2 000 за находку, тогда как тот, кто нанял искателя, получал по 1 000. Рекрутер, нанявший последнего (того, кто нанял искателя), получал 500 долларов и т.д.

Нильс Шнайдер, разработчик проекта Bitcoin, сказал, что описанная в докладе проблема таковой на данный момент не является. В электронном письме порталу The Register он написал: "В докладе описана очень интересная теоретическая проблема, но я сомневаюсь, что внедрения каких-либо изменений понадобится".

В России придумали, как сохранить домены для иностранных компаний

Группа «Рунити», в которую входят «Руцентр», «Рег.ру», «Рег.облако», SpaceWeb и другие компании, собирается к лету запустить сервис, который должен упростить регистрацию доменов в России для иностранных компаний. Об этом на Russian Internet Governance Forum рассказал глава группы Андрей Кузьмичев.

По сути, речь идёт об аналоге trustee-сервиса. Это схема, при которой местная компания формально становится держателем домена, а реальный владелец управляет им на основании договора.

Такой механизм давно используется в странах, где национальные домены можно регистрировать только при наличии местного присутствия — например, в Австралии, Сингапуре, Италии и Франции.

Для России это новая история. До сих пор иностранные компании могли напрямую регистрировать домены в зонах .RU, .РФ и .SU. Но ситуация меняется: с 1 сентября 2026 года в стране должно заработать новое требование — верификация владельца домена через ЕСИА. А вот отдельный порядок для иностранных компаний в проекте правил пока не прописан.

Именно на этом фоне и появляется идея нового сервиса. Предполагается, что он поможет нерезидентам сохранить возможность администрировать домены в российских зонах, даже если прямое подключение к ЕСИА для них окажется слишком сложным. Заодно, по задумке разработчиков, это должно усложнить жизнь мошенникам, которые нередко прячутся именно за иностранной регистрацией.

По словам Андрея Кузьмичева, сейчас «Рунити» работает над интерактивной процедурой идентификации клиентов. То есть сервис, судя по всему, будет не просто формальной прокладкой, а ещё и инструментом проверки тех, кто хочет воспользоваться этой схемой.

По данным Технического центра Интернет на 6 апреля 2026 года, в России зарегистрировано 6,1 млн доменов в зоне .RU, 647 тысяч в зоне .РФ и ещё 80 тысяч в зоне .SU. Только в зоне .RU насчитывается около 2 млн администраторов доменов, и хотя подавляющее большинство из них — российские владельцы, часть доменов всё же зарегистрирована на нерезидентов.

Отдельная проблема — сама подготовка рынка к новым правилам. Как отметил глава «Рунити», сложность не только в технологии, но и в том, чтобы вообще донести до администраторов доменов мысль: теперь личность придётся подтверждать через ЕСИА. За десятилетия в доменных базах накопилось много устаревших данных: у кого-то старый паспорт, у кого-то изменился адрес регистрации, а кто-то, возможно, давно не вспоминал, что его данные вообще нужно обновлять.

RSS: Новости на портале Anti-Malware.ru