Secure3의 Neo X Bridge 감사 보고서 공개

Neo는 Web3 프로토콜에 대한 위협을 식별하고 완화하기 위해 보안 전문가와 협력하는 플랫폼인 Secure3에서 실시한 감사 콘테스트 결과를 발표했습니다.

Web3 protocol security platform Secure3 has completed an audit of the Neo Native Bridge, which was developed by Bane Labs to facilitate asset transfers between Neo N3 and Neo X. The audit aimed to ensure the integrity and security of the bridge, which is crucial for safeguarding user funds and maintaining the integrity of the Neo ecosystem.

Web3 프로토콜 보안 플랫폼 Secure3는 Bane Labs가 Neo N3와 Neo X 간의 자산 전송을 촉진하기 위해 개발한 Neo Native Bridge에 대한 감사를 완료했습니다. 감사의 목적은 보호에 중요한 브리지의 무결성과 보안을 보장하는 것입니다. 사용자 자금을 보호하고 Neo 생태계의 무결성을 유지합니다.

The Neo Native Bridge comprises two primary components: a bridge smart contract deployed on Neo X and a relayer code that facilitates communication between Neo N3 and Neo X. The audit focused on both these aspects to identify and mitigate any potential vulnerabilities or risks.

Neo Native Bridge는 Neo X에 배포된 브리지 스마트 계약과 Neo N3와 Neo X 간의 통신을 용이하게 하는 중계기 코드라는 두 가지 주요 구성 요소로 구성됩니다. 감사는 잠재적인 취약점이나 위험을 식별하고 완화하기 위해 이러한 두 가지 측면에 중점을 두었습니다.

? Bridge contract audit

? 교량 계약 감사

The audit of the Neo X Bridge Contract identified several issues, including a medium-severity concern related to token registration and deregistration. This issue could potentially allow replay attacks on the bridge, posing a significant risk to the security of asset transfers.

Neo X Bridge 계약 감사에서는 토큰 등록 및 등록 취소와 관련된 중간 심각도 문제를 포함하여 여러 가지 문제가 확인되었습니다. 이 문제는 잠재적으로 브리지에 대한 재생 공격을 허용하여 자산 전송 보안에 심각한 위험을 초래할 수 있습니다.

The audit team highlighted this issue and worked closely with the Neo team to resolve it promptly. The system was modified to disallow the deregistration of token bridges, effectively mitigating the identified risk and ensuring the integrity of the Neo Native Bridge.

감사팀은 이 문제를 강조하고 Neo 팀과 긴밀히 협력하여 문제를 신속하게 해결했습니다. 토큰 브리지의 등록 취소를 허용하지 않도록 시스템을 수정하여 식별된 위험을 효과적으로 완화하고 네오 네이티브 브리지의 무결성을 보장했습니다.

Furthermore, the audit uncovered several low-severity concerns, which were either acknowledged for future resolution or fixed by adopting more secure alternatives. These included:

또한, 감사를 통해 심각도가 낮은 몇 가지 문제가 발견되었으며, 이는 향후 해결을 위해 인정되었거나 보다 안전한 대안을 채택하여 수정되었습니다. 여기에는 다음이 포함됩니다.

The use of safeTransferFrom instead of transferFrom, which could lead to unexpected behavior with certain tokens due to non-standard ERC20 implementations. This was addressed by using OpenZeppelin’s SafeERC20 library.

transferFrom 대신 safeTransferFrom을 사용하면 비표준 ERC20 구현으로 인해 특정 토큰에서 예기치 않은 동작이 발생할 수 있습니다. 이 문제는 OpenZeppelin의 SafeERC20 라이브러리를 사용하여 해결되었습니다.

The use of the ecrecover function, which limited validators to externally owned accounts and made the system vulnerable to signature malleability, potentially enabling forgery or replay attacks. These issues were either acknowledged for future resolution or fixed by switching to more secure alternatives like OpenZeppelin’s ECDSA.recover function.

검증인을 외부 소유 계정으로 제한하고 시스템을 서명 가단성에 취약하게 만들어 잠재적으로 위조 또는 재생 공격을 가능하게 하는 ecrecover 기능의 사용. 이러한 문제는 향후 해결을 위해 확인되거나 OpenZeppelin의 ECDSA.recover 기능과 같은 보다 안전한 대안으로 전환하여 해결되었습니다.

Minor informational issues, such as code style inconsistencies and unused errors, were also identified and addressed where necessary.

코드 스타일 불일치 및 사용되지 않은 오류와 같은 사소한 정보 문제도 식별되어 필요한 경우 해결되었습니다.

? Bridge relayer audit

? 교량 릴레이 감사

The audit of the Neo X Bridge Relayer also revealed several low-severity issues, which were promptly addressed or acknowledged for future improvements. These included:

Neo X Bridge Relayer에 대한 감사에서는 심각도가 낮은 몇 가지 문제도 발견되었으며, 이는 향후 개선을 위해 즉시 해결되거나 인정되었습니다. 여기에는 다음이 포함됩니다.

The relayer’s program continued to run indefinitely in the event of a non-connection-related error, potentially leading to resource exhaustion. This was resolved by ensuring the program exits appropriately in such scenarios.

연결과 관련되지 않은 오류가 발생하는 경우 중계기의 프로그램이 무한정 계속 실행되어 잠재적으로 리소스가 고갈될 수 있습니다. 이 문제는 이러한 시나리오에서 프로그램이 적절하게 종료되도록 하여 해결되었습니다.

The potential for a denial of service attack due to the lack of a timeout in the signature processing function, which was fixed by implementing a timeout mechanism.

서명 처리 기능의 시간 초과 부족으로 인한 서비스 거부 공격 가능성은 시간 초과 메커니즘을 구현하여 수정되었습니다.

The system did not verify the uniqueness of signatures, which could allow possible bypasses. This issue was acknowledged and will be addressed in future updates.

시스템은 서명의 고유성을 확인하지 않았으므로 우회가 허용될 수 있습니다. 이 문제는 확인되었으며 향후 업데이트에서 해결될 예정입니다.

The hardcoded threshold for the number of signatures required for relayer operations, which limited the flexibility of the system. This was acknowledged, and a more dynamic approach will be implemented in future releases.

릴레이어 작업에 필요한 서명 수에 대한 하드코딩된 임계값으로 인해 시스템의 유연성이 제한되었습니다. 이는 인정되었으며 향후 릴리스에서는 보다 동적인 접근 방식이 구현될 예정입니다.

Other informational issues, such as improper handling of decrypted accounts, insecure password storage, and the risk of race conditions due to the use of goroutines in loops, were also noted. While most of these issues were promptly addressed, some were acknowledged and earmarked for future improvements.

해독된 계정의 부적절한 처리, 안전하지 않은 비밀번호 저장, 루프에서 고루틴 사용으로 인한 경쟁 조건 위험과 같은 기타 정보 문제도 언급되었습니다. 이러한 문제의 대부분은 즉시 해결되었지만 일부는 향후 개선을 위해 인정되고 지정되었습니다.

The full reports can be found in the announcement linked below: https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b

전체 보고서는 아래 링크된 발표에서 확인할 수 있습니다: https://medium.com/neo-smart-economy/disclosing-the-neo-x-audit-report-by-secure3-1b7eae9dc47b