CometBFT lộ lỗ hổng zero-day, 8 tỷ USD các nút mạng Cosmos đối mặt rủi ro bị đóng băng vĩnh viễn

Nhà nghiên cứu an ninh Doyeon Park đã công bố vào ngày 21 tháng 4 rằng trong lớp đồng thuận của Cosmos, CometBFT tồn tại một lỗ hổng zero-day mức độ nghiêm trọng cao theo CVSS là 7.1, có thể khiến các nút bị tấn công bởi các đối tác độc hại trong giai đoạn đồng bộ khối (BlockSync) và rơi vào tình trạng bế tắc (deadlock), ảnh hưởng đến một mạng lưới bảo vệ hơn 8 tỷ USD tài sản.

Nguyên lý kỹ thuật của lỗ hổng: nút độc hại báo cáo độ cao sai lệch nghiêm trọng gây bế tắc vô hạn

Lỗ hổng nằm trong cơ chế BlockSync của CometBFT. Trong điều kiện bình thường, khi các nút ngang hàng kết nối sẽ báo cáo độ cao khối mới nhất tăng dần (latest). Tuy nhiên, mã hiện có không xác thực trường hợp một nút ngang hàng báo độ cao X trước rồi sau đó báo độ cao thấp hơn Y—ví dụ: báo trước 2000 rồi báo tiếp 1001. Lúc này, nút A trong quá trình đồng bộ sẽ chờ vĩnh viễn để bắt kịp độ cao 2000, ngay cả khi nút độc hại bị ngắt kết nối; do đó, độ cao mục tiêu không được tính lại, dẫn đến nút rơi vào bế tắc vô hạn, không thể tham gia lại mạng. Các phiên bản bị ảnh hưởng là <= v0.38.16 và v1.0.0; các phiên bản đã được vá là v1.0.1 và v0.38.17.

Sự cố trong phối hợp công bố: dòng thời gian đầy đủ về việc nhà cung cấp hạ cấp CVE

Park đã tuân theo quy trình tiêu chuẩn phối hợp công bố lỗ hổng (CVD), nhưng trong quá trình đã nhiều lần gặp trở ngại: ngày 22 tháng 2 nộp báo cáo đầu tiên, nhà cung cấp yêu cầu nộp dưới dạng một GitHub issue công khai nhưng từ chối công bố rộng rãi; ngày 4 tháng 3 nộp báo cáo thứ hai bị HackerOne đánh dấu là thư rác; ngày 6 tháng 3 nhà cung cấp tự hạ mức độ nghiêm trọng của lỗ hổng từ “trung bình/cao” xuống “mang tính thông tin (tác động có thể bỏ qua)”, Park nộp một bằng chứng khái niệm (PoC) cấp mạng để phản biện; ngày 21 tháng 4 cuối cùng quyết định công bố rộng rãi.

Park cũng chỉ ra rằng trước đó nhà cung cấp đã thực hiện một thao tác hạ cấp tương tự đối với CVE-2025-24371, một lỗ hổng có cùng ảnh hưởng, và điều này bị cho là vi phạm các tiêu chuẩn đánh giá lỗ hổng quốc tế được công nhận như CVSS.

Hướng dẫn khẩn cấp: các hành động mà người xác thực cần thực hiện ngay bây giờ

Trước khi bản vá được triển khai chính thức, Park khuyến nghị tất cả các người xác thực Cosmos nếu có thể thì tránh khởi động lại nút. Các nút đang ở chế độ đồng thuận có thể tiếp tục vận hành bình thường; tuy nhiên nếu khởi động lại và đi vào quá trình đồng bộ BlockSync, có thể bị tấn công bởi các nút độc hại và rơi vào bế tắc.

Là biện pháp giảm thiểu tạm thời: nếu phát hiện BlockSync bị kẹt, có thể xác định các đối tác ngang hàng độc hại báo cáo độ cao không hợp lệ bằng cách tăng mức độ ghi log, và chặn nút đó ở lớp P2P. Giải pháp căn bản nhất là nhanh chóng nâng cấp lên phiên bản đã được vá v1.0.1 hoặc v0.38.17.

Câu hỏi thường gặp

Lỗ hổng này của CometBFT có thể trực tiếp đánh cắp tài sản không?

Không. Lỗ hổng này không thể trực tiếp đánh cắp tài sản hoặc gây nguy hiểm cho sự an toàn của tiền trên chuỗi. Tác động của nó là khiến các nút rơi vào bế tắc trong giai đoạn đồng bộ BlockSync, khiến các nút không thể tham gia mạng một cách bình thường; điều này có thể ảnh hưởng đến khả năng tạo khối và bỏ phiếu của người xác thực, từ đó ảnh hưởng đến tính hoạt động của chuỗi khối liên quan.

Người xác thực xác định nút có bị tấn công bởi lỗ hổng này hay chưa như thế nào?

Nếu nút bị kẹt trong giai đoạn BlockSync thì việc độ cao mục tiêu ngừng tăng là một dấu hiệu khả dĩ. Có thể tăng mức độ ghi log của mô-đun BlockSync để xem liệu có các bản ghi về các đối tác ngang hàng đã nhận được các thông điệp độ cao bất thường hay không, từ đó nhận diện các nút độc hại tiềm ẩn và chặn chúng ở lớp P2P.

Việc nhà cung cấp hạ cấp lỗ hổng thành “mang tính thông tin” có đúng tiêu chuẩn không?

Đánh giá CVSS của Park (7.1, mức độ cao) dựa trên phương pháp chấm điểm quốc tế tiêu chuẩn, và Park đã nộp một PoC cấp mạng có thể xác minh được để phản biện quyết định hạ cấp. Việc nhà cung cấp hạ nó xuống “tác động có thể bỏ qua” bị cộng đồng an ninh cho là vi phạm các tiêu chuẩn đánh giá lỗ hổng quốc tế được công nhận như CVSS; tranh cãi này cũng là một trong những lý do cốt lõi khiến Park cuối cùng quyết định công bố rộng rãi.