Divulgation du rapport d'audit Neo X Bridge par Secure3

Neo a publié les résultats d'un concours d'audit mené par Secure3, une plateforme qui collabore avec des experts en sécurité pour identifier et atténuer les menaces pesant sur les protocoles Web3.

Web3 protocol security platform Secure3 has completed an audit of the Neo Native Bridge, which was developed by Bane Labs to facilitate asset transfers between Neo N3 and Neo X. The audit aimed to ensure the integrity and security of the bridge, which is crucial for safeguarding user funds and maintaining the integrity of the Neo ecosystem.

La plateforme de sécurité du protocole Web3 Secure3 a réalisé un audit du Neo Native Bridge, développé par Bane Labs pour faciliter les transferts d'actifs entre Neo N3 et Neo X. L'audit visait à garantir l'intégrité et la sécurité du pont, ce qui est crucial pour la sauvegarde. les fonds des utilisateurs et le maintien de l’intégrité de l’écosystème Neo.

The Neo Native Bridge comprises two primary components: a bridge smart contract deployed on Neo X and a relayer code that facilitates communication between Neo N3 and Neo X. The audit focused on both these aspects to identify and mitigate any potential vulnerabilities or risks.

Le Neo Native Bridge comprend deux composants principaux : un contrat intelligent de pont déployé sur Neo X et un code de relais qui facilite la communication entre Neo N3 et Neo X. L'audit s'est concentré sur ces deux aspects pour identifier et atténuer toute vulnérabilité ou risque potentiel.

? Bridge contract audit

? Audit des contrats relais

The audit of the Neo X Bridge Contract identified several issues, including a medium-severity concern related to token registration and deregistration. This issue could potentially allow replay attacks on the bridge, posing a significant risk to the security of asset transfers.

L'audit du contrat Neo X Bridge a identifié plusieurs problèmes, notamment une préoccupation de gravité moyenne liée à l'enregistrement et à la désinscription des jetons. Ce problème pourrait potentiellement permettre des attaques par répétition sur le pont, posant un risque important pour la sécurité des transferts d'actifs.

The audit team highlighted this issue and worked closely with the Neo team to resolve it promptly. The system was modified to disallow the deregistration of token bridges, effectively mitigating the identified risk and ensuring the integrity of the Neo Native Bridge.

L'équipe d'audit a souligné ce problème et a travaillé en étroite collaboration avec l'équipe Neo pour le résoudre rapidement. Le système a été modifié pour interdire la désenregistrement des ponts symboliques, atténuant ainsi efficacement le risque identifié et garantissant l'intégrité du pont Neo Native.

Furthermore, the audit uncovered several low-severity concerns, which were either acknowledged for future resolution or fixed by adopting more secure alternatives. These included:

En outre, l'audit a révélé plusieurs problèmes de faible gravité, qui ont été soit reconnus pour une résolution future, soit résolus en adoptant des alternatives plus sûres. Ceux-ci comprenaient :

The use of safeTransferFrom instead of transferFrom, which could lead to unexpected behavior with certain tokens due to non-standard ERC20 implementations. This was addressed by using OpenZeppelin’s SafeERC20 library.

L'utilisation de safeTransferFrom au lieu de transferFrom, ce qui pourrait conduire à un comportement inattendu avec certains jetons en raison d'implémentations ERC20 non standard. Ce problème a été résolu en utilisant la bibliothèque SafeERC20 d'OpenZeppelin.

The use of the ecrecover function, which limited validators to externally owned accounts and made the system vulnerable to signature malleability, potentially enabling forgery or replay attacks. These issues were either acknowledged for future resolution or fixed by switching to more secure alternatives like OpenZeppelin’s ECDSA.recover function.

L'utilisation de la fonction ecrecover, qui limitait les validateurs aux comptes externes et rendait le système vulnérable à la malléabilité des signatures, permettant potentiellement des attaques de falsification ou de relecture. Ces problèmes ont été soit reconnus pour une résolution future, soit résolus en passant à des alternatives plus sécurisées comme la fonction ECDSA.recover d'OpenZeppelin.

Minor informational issues, such as code style inconsistencies and unused errors, were also identified and addressed where necessary.

Des problèmes d’information mineurs, tels que des incohérences dans le style du code et des erreurs inutilisées, ont également été identifiés et résolus si nécessaire.

? Bridge relayer audit

? Bridge relayer audit

The audit of the Neo X Bridge Relayer also revealed several low-severity issues, which were promptly addressed or acknowledged for future improvements. These included:

L'audit du Neo X Bridge Relayer a également révélé plusieurs problèmes de faible gravité, qui ont été rapidement résolus ou reconnus pour des améliorations futures. Ceux-ci comprenaient :

The relayer’s program continued to run indefinitely in the event of a non-connection-related error, potentially leading to resource exhaustion. This was resolved by ensuring the program exits appropriately in such scenarios.

Le programme du relais continuait à s'exécuter indéfiniment en cas d'erreur non liée à la connexion, pouvant conduire à un épuisement des ressources. Ce problème a été résolu en garantissant que le programme se termine correctement dans de tels scénarios.

The potential for a denial of service attack due to the lack of a timeout in the signature processing function, which was fixed by implementing a timeout mechanism.

Le potentiel d'une attaque par déni de service en raison de l'absence de délai d'attente dans la fonction de traitement des signatures, qui a été corrigé en implémentant un mécanisme de délai d'attente.

The system did not verify the uniqueness of signatures, which could allow possible bypasses. This issue was acknowledged and will be addressed in future updates.

Le système n'a pas vérifié le caractère unique des signatures, ce qui pourrait permettre d'éventuels contournements. Ce problème a été reconnu et sera résolu dans les futures mises à jour.

The hardcoded threshold for the number of signatures required for relayer operations, which limited the flexibility of the system. This was acknowledged, and a more dynamic approach will be implemented in future releases.

Le seuil codé en dur pour le nombre de signatures requises pour les opérations de relais, ce qui limitait la flexibilité du système. Cela a été reconnu et une approche plus dynamique sera mise en œuvre dans les prochaines versions.

Other informational issues, such as improper handling of decrypted accounts, insecure password storage, and the risk of race conditions due to the use of goroutines in loops, were also noted. While most of these issues were promptly addressed, some were acknowledged and earmarked for future improvements.

D'autres problèmes d'information, tels qu'une mauvaise gestion des comptes déchiffrés, un stockage non sécurisé des mots de passe et le risque de conditions de concurrence dues à l'utilisation de goroutines dans des boucles, ont également été notés. Même si la plupart de ces problèmes ont été rapidement résolus, certains ont été reconnus et réservés à des améliorations futures.

The full reports can be found in the announcement linked below: https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b

Les rapports complets peuvent être trouvés dans l'annonce liée ci-dessous : https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b