Veröffentlichung des Neo X Bridge-Auditberichts von Secure3

Neo hat die Ergebnisse eines Prüfungswettbewerbs veröffentlicht, der von Secure3 durchgeführt wurde, einer Plattform, die mit Sicherheitsexperten zusammenarbeitet, um Bedrohungen für Web3-Protokolle zu identifizieren und abzuschwächen.

Web3 protocol security platform Secure3 has completed an audit of the Neo Native Bridge, which was developed by Bane Labs to facilitate asset transfers between Neo N3 and Neo X. The audit aimed to ensure the integrity and security of the bridge, which is crucial for safeguarding user funds and maintaining the integrity of the Neo ecosystem.

Die Web3-Protokoll-Sicherheitsplattform Secure3 hat eine Prüfung der Neo Native Bridge abgeschlossen, die von Bane Labs entwickelt wurde, um den Asset-Transfer zwischen Neo N3 und Neo Benutzergelder und Aufrechterhaltung der Integrität des Neo-Ökosystems.

The Neo Native Bridge comprises two primary components: a bridge smart contract deployed on Neo X and a relayer code that facilitates communication between Neo N3 and Neo X. The audit focused on both these aspects to identify and mitigate any potential vulnerabilities or risks.

Die Neo Native Bridge besteht aus zwei Hauptkomponenten: einem Bridge-Smart-Vertrag, der auf Neo X bereitgestellt wird, und einem Relayer-Code, der die Kommunikation zwischen Neo N3 und Neo

? Bridge contract audit

? Überbrückungsvertragsprüfung

The audit of the Neo X Bridge Contract identified several issues, including a medium-severity concern related to token registration and deregistration. This issue could potentially allow replay attacks on the bridge, posing a significant risk to the security of asset transfers.

Bei der Prüfung des Neo-X-Bridge-Vertrags wurden mehrere Probleme festgestellt, darunter ein mittelschweres Problem im Zusammenhang mit der Registrierung und Abmeldung von Token. Dieses Problem könnte möglicherweise Wiederholungsangriffe auf die Brücke ermöglichen und ein erhebliches Risiko für die Sicherheit von Vermögensübertragungen darstellen.

The audit team highlighted this issue and worked closely with the Neo team to resolve it promptly. The system was modified to disallow the deregistration of token bridges, effectively mitigating the identified risk and ensuring the integrity of the Neo Native Bridge.

Das Prüfungsteam hat dieses Problem hervorgehoben und eng mit dem Neo-Team zusammengearbeitet, um es umgehend zu lösen. Das System wurde geändert, um die Deregistrierung von Token-Bridges zu verhindern, wodurch das identifizierte Risiko effektiv gemindert und die Integrität der Neo Native Bridge sichergestellt wird.

Furthermore, the audit uncovered several low-severity concerns, which were either acknowledged for future resolution or fixed by adopting more secure alternatives. These included:

Darüber hinaus deckte die Prüfung mehrere Bedenken geringer Schwere auf, die entweder zur künftigen Lösung anerkannt oder durch die Einführung sichererer Alternativen behoben wurden. Dazu gehörten:

The use of safeTransferFrom instead of transferFrom, which could lead to unexpected behavior with certain tokens due to non-standard ERC20 implementations. This was addressed by using OpenZeppelin’s SafeERC20 library.

Die Verwendung von „safeTransferFrom“ anstelle von „transferFrom“, was aufgrund nicht standardmäßiger ERC20-Implementierungen zu unerwartetem Verhalten bei bestimmten Token führen kann. Dieses Problem wurde durch die Verwendung der SafeERC20-Bibliothek von OpenZeppelin behoben.

The use of the ecrecover function, which limited validators to externally owned accounts and made the system vulnerable to signature malleability, potentially enabling forgery or replay attacks. These issues were either acknowledged for future resolution or fixed by switching to more secure alternatives like OpenZeppelin’s ECDSA.recover function.

Die Verwendung der Ecrecover-Funktion, die Validatoren auf externe Konten beschränkte und das System anfällig für die Formbarkeit von Signaturen machte, was möglicherweise Fälschungen oder Replay-Angriffe ermöglichte. Diese Probleme wurden entweder zur künftigen Lösung anerkannt oder durch den Wechsel zu sichereren Alternativen wie der ECDSA.recover-Funktion von OpenZeppelin behoben.

Minor informational issues, such as code style inconsistencies and unused errors, were also identified and addressed where necessary.

Kleinere Informationsprobleme wie Inkonsistenzen im Codestil und nicht verwendete Fehler wurden ebenfalls identifiziert und bei Bedarf behoben.

? Bridge relayer audit

? Bridge-Relay-Audit

The audit of the Neo X Bridge Relayer also revealed several low-severity issues, which were promptly addressed or acknowledged for future improvements. These included:

Die Prüfung des Neo Dazu gehörten:

The relayer’s program continued to run indefinitely in the event of a non-connection-related error, potentially leading to resource exhaustion. This was resolved by ensuring the program exits appropriately in such scenarios.

Das Programm des Relayers lief im Falle eines nicht verbindungsbezogenen Fehlers unbegrenzt weiter, was möglicherweise zur Erschöpfung der Ressourcen führte. Dieses Problem wurde gelöst, indem sichergestellt wurde, dass das Programm in solchen Szenarien ordnungsgemäß beendet wird.

The potential for a denial of service attack due to the lack of a timeout in the signature processing function, which was fixed by implementing a timeout mechanism.

Das Potenzial für einen Denial-of-Service-Angriff aufgrund des fehlenden Timeouts in der Signaturverarbeitungsfunktion, das durch die Implementierung eines Timeout-Mechanismus behoben wurde.

The system did not verify the uniqueness of signatures, which could allow possible bypasses. This issue was acknowledged and will be addressed in future updates.

Das System hat die Einzigartigkeit der Signaturen nicht überprüft, was mögliche Umgehungen ermöglichen könnte. Dieses Problem wurde erkannt und wird in zukünftigen Updates behoben.

The hardcoded threshold for the number of signatures required for relayer operations, which limited the flexibility of the system. This was acknowledged, and a more dynamic approach will be implemented in future releases.

Der fest codierte Schwellenwert für die Anzahl der für Relayer-Operationen erforderlichen Signaturen, der die Flexibilität des Systems einschränkte. Dies wurde anerkannt und ein dynamischerer Ansatz wird in zukünftigen Versionen implementiert.

Other informational issues, such as improper handling of decrypted accounts, insecure password storage, and the risk of race conditions due to the use of goroutines in loops, were also noted. While most of these issues were promptly addressed, some were acknowledged and earmarked for future improvements.

Es wurden auch andere Informationsprobleme festgestellt, etwa der unsachgemäße Umgang mit entschlüsselten Konten, die unsichere Speicherung von Passwörtern und das Risiko von Race Conditions aufgrund der Verwendung von Goroutinen in Schleifen. Während die meisten dieser Probleme umgehend behoben wurden, wurden einige erkannt und für zukünftige Verbesserungen vorgesehen.

The full reports can be found in the announcement linked below: https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b

Die vollständigen Berichte finden Sie in der unten verlinkten Ankündigung: https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b