Jak MarketNow zabezpiecza transakcje AI: co odkryto w audycie

Analiza luk w systemie

MarketNow, nowa platforma obsługująca płatności USDC za umiejętności AI, przeszła niedawno audyt bezpieczeństwa, który ujawnił szereg poważnych luk. Po uruchomieniu platformy, przeprowadzono cztery równoległe audyty: testy bezpieczeństwa, wydajności, funkcjonalności oraz SEO. Wyniki były alarmujące — system umożliwiał nieautoryzowane transakcje, co mogło prowadzić do ogromnych strat finansowych.

Podczas audytu odkryto, że proces debetowania mandatów nie uwzględniał wewnętrznego sekretu, co oznaczało, że użytkownik z mandatem o wartości 10 dolarów mógł nieograniczenie wydawać na umiejętności, w wyniku czego mógłby dokonać zakupów na łączną kwotę 500 dolarów. W odpowiedzi, zespół wprowadził poprawki, które wymagały potwierdzenia wewnętrznego sekretu przy każdej transakcji, co skutkuje odrzuceniem transakcji w przypadku błędów.

Problemy z licencjami i walidacją

Innym poważnym problemem było to, że ten sam identyfikator transakcji USDC mógł być użyty do wydania nieograniczonej liczby licencji. Wprowadzenie deduplikacji identyfikatorów transakcji stało się kluczowym krokiem w zabezpieczeniu systemu. Zespół zainstalował mechanizm, który sprawdzał, czy dany identyfikator już został użyty, zanim przyznał licencję. To rozwiązanie ma na celu zapobieganie oszustwom związanym z nieautoryzowanym dostępem do produktów.

Dodatkowo, audyt wykazał, że system nie weryfikował, kto faktycznie dokonał zakupu. W przypadku, gdyby ktoś zdołał przejąć transfer USDC, mógłby zrealizować zakupy, zanim rzeczywisty klient miałby szansę na zrealizowanie transakcji. Dlatego wprowadzono poprawkę, która wymaga potwierdzenia zgodności portfela z adresem osoby dokonującej zakupu.

Ochrona danych i limity

Na liście poprawek znalazły się również kwestie związane z bezpieczeństwem danych. Wrażliwe informacje, takie jak adresy e-mail, były narażone na nieautoryzowany dostęp w API. Zespół zdecydował się na redakcję tych informacji, co zminimalizuje ryzyko ich ujawnienia. Dodatkowo, wprowadzono ograniczenia dotyczące liczby zapytań do systemu, aby zapobiec przeciążeniom, co jest kluczowe dla utrzymania wydajności platformy.

Wnioski i przyszłość

Ostatecznie, audyt bezpieczeństwa MarketNow jest przykładem na to, jak istotne jest przeprowadzanie regularnych testów bezpieczeństwa w systemach obsługujących transakcje finansowe. Wprowadzone poprawki nie tylko zabezpieczają platformę przed potencjalnymi atakami, ale również budują zaufanie wśród użytkowników. Dla innych firm z branży fintech, ten przypadek podkreśla konieczność inwestowania w audyty bezpieczeństwa oraz szybkie reagowanie na zidentyfikowane zagrożenia, aby uniknąć poważnych konsekwencji.