🇰🇷 한글 설명
Cardano의 레이어 2 확장 솔루션인 Hydra의 0.13.0 미만 버전에서 발생한 취약점입니다. head validator의 checkClose 함수가 contestation 기간의 변경 여부를 검증하지 않아, 악의적인 참여자가 이 기한을 조작할 수 있습니다. 이를 통해 다른 참여자의 이의 제기 기회를 박탈하거나 자금 재분배를 영구적으로 차단할 수 있습니다.
💡 쉬운 설명
Hydra 시스템에서 규칙을 어기고 자금 인출 기한을 마음대로 조작할 수 있는 보안 결함입니다. 공격자가 이 규칙을 악용하면 다른 사람이 돈을 찾지 못하게 막거나, 정당한 절차 없이 자금을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Hydra is the layer-two scalability solution for Cardano. Prior to version 0.13.0, the specification states that the contestation period in the datum of the UTxO at the head validator must stay unchanged as the state progresses from Open to Closed (Close transaction), but no such check appears to be performed in the `checkClose` function of the head validator. This would allow a malicious participant to modify the contestation deadline of the head to either allow them to fanout the head without giving another participant the chance to contest, or prevent any participant from ever redistributing the funds locked in the head via a fan-out. Version 0.13.0 contains a patch for this issue.
📍 영향받는 시스템
Hydra version < 0.13.0
⚔️ 공격 벡터
head validator의 checkClose 함수 내 검증 부재를 악용하여 contestation deadline을 조작
🛡️ 대응 방법
Hydra를 버전 0.13.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 0.13.0 미만의 버전 번호가 출력되면 취약한 버전이 설치된 것입니다.
hydra --version 2>/dev/null | grep -E '0\.(1[3-9]|[2-9][0-9])\.'