“Complottheoretici” hadden weer eens gelijk!

Het pilotproject van de digitale valuta van de Braziliaanse centrale bank, de Real Digital, maakt het mogelijk om de portemonnees van gebruikers te bevriezen en hun saldo te verlagen, iets wat altijd al sterk werd vermoed door “complottheoretici!”

De echte digitale

De president van de Centrale Bank, Roberto Campos Neto, presenteerde de digitale agenda van Brazilië al in november 2022, met een preview van de Real Digital-app. Volgens Campos lijkt "Real Digital, de digitale valuta van de centrale bank (CBDC) in Brazilië, het banksysteem te tokeniseren". Hij legde uit dat de "CBDC niets meer is dan een token dat door de bank wordt uitgegeven bij storting". (bron).

Het is echter duidelijk meer dan dat, zoals blijkt uit een rapport van journalist Vini Barbosa op de website Portal do Bitcoin.

De openbare audit

Op maandag de 3^rd In juli publiceerde de Centrale Bank van Brazilië (Bacen) informatie over haar proefproject voor digitale valuta van de centrale bank, dat publieke deelname aan de audit aanbood. Ontwikkelaars ontdekten dat de digitale valuta het mogelijk maakt om de wallets van gebruikers te bevriezen en te manipuleren.

Volgens Barbosa, na de publicatie van de documentatie over het Braziliaanse CBDC-pilotproject op GitHubheeft de Centrale Bank van Brazilië ook toestemming gegeven voor het starten van een openbare audit van de broncode van het systeem.

De openbare en collaboratieve audit van hun pilot CBDC op het open platform “Kit-onboarding"bevat documentatie en configuratiebestanden die voor iedereen toegankelijk zijn, omdat een van de doelen van het publiceren van de pilot (zoals beschreven in de zogenaamde "Onboarding Kit" van het project) is om feedback te ontvangen. Hierdoor is alle documentatie onderhevig aan evolutie of wijzigingen.

Developers

Zoals verwacht trok de audit de aandacht en feedback van een aantal ontwikkelaars, die vervolgens de code analyseerden en zo een aantal onbekende codefuncties (opdrachten) ontdekten. Deze functies stellen de controllers in staat om verschillende relevante wijzigingen aan te brengen in de gegevens van het CBDC-grootboek, met directe gevolgen voor de gebruikers.

Reverse Engineering

Eén full-stack ontwikkelaar Pedro Magalhães die gespecialiseerd is in Blockchain en DeFI, en de programmeertaal Solidity, aangekondigd op LinkedIn dat hij “de broncode van de CBDC van Solidity had ontdekt via de ABI (interface) van Real Digital met behulp van reverse engineering”.

Magalhães schreef: "Onlangs heb ik me verdiept in de wereld van ABI's (interfaces) van Real Digital, een initiatief van de Centrale Bank, met de bedoeling om mogelijke kwetsbaarheden te onderzoeken voor puur didactische doeleinden."

In een gesprek met Portal do BitcoinMagalhães legde uit: "Reverse engineering is een techniek om te begrijpen hoe een systeem werkt door simpelweg zijn gedrag te observeren" en dat een Application Binary Interface (ABI) "in principe een manier is om te communiceren met slimme contracten op Ethereum.

"Het is als een handleiding die vertelt hoe het contract gelezen en geschreven kan worden", legt hij uit. "Ik heb de ABI geanalyseerd om de functionaliteiten van Real Digital te begrijpen en ontdekte de verschillende functies die ze hebben geïmplementeerd."

Dit leidde tot zijn vele bevindingen, waaronder operaties zoals het 'munten' van Real Digital-tokens en het activeren/deactiveren van doelaccounts. Door de reverse engineering-techniek toe te passen, kon hij bovendien functies vinden die kunnen worden uitgevoerd door elke entiteit die de juiste toestemming krijgt van de controlerende entiteit van het nieuwe systeem – namelijk de Centrale Bank.

Op basis van deze analyse stelt Pedro dat het mogelijk was om het smart contract in Solidity (de computertaal) dat in het pilotproject werd gebruikt, opnieuw te creëren. Dit contract maakt de uitvoering van de volgende functies mogelijk:

account uitschakelen: Schakelt een account uit dat is geautoriseerd voor het overdragen van tokens.

account inschakelen: Hiermee wordt een account geactiveerd dat eerder was uitgeschakeld voor tokenoverdrachten.

toenameFrozenBalance: Verhoogt het bevroren saldo van een portemonnee-adres.

afnameBevrorenSaldo: Verlaagt het bevroren saldo van een portemonnee-adres.

overdracht: Overschrijft de ERC20-overdrachtsfunctie en omvat nu ook controles van de accountstatus en bevroren saldi.

overdrachtVan: Overschrijft de ERC20 transferFrom-functie om rekeningstatuscontroles en bevroren saldi uit te voeren.

munt: Maakt nieuwe Real Digital-tokens voor een opgegeven adres.

brandwond: Verbrandt (vernietigt) een bepaald aantal Real Digital-tokens.

pauze: Pauzeert tokenoverdrachten.

pauzeren: Hervat tokenoverdrachten.

bevrorenBalanceOf: Haalt het bevroren saldo van een portemonnee-adres op.

geautoriseerde rekening: Controleert of een account geautoriseerd is voor tokenoverdrachten.

Actie: Tokens overzetten van de ene wallet naar de andere.

bewegenEnBranden: Draagt ​​tokens over en verbrandt ze vanuit een wallet.

brandenVan: Verbrandt tokens van een opgegeven account.

Deze functies kunnen worden uitgevoerd door elke entiteit die door de Centrale Bank is geautoriseerd via een andere functie (die ook aanwezig is in de broncode), genaamd Access Controle. Portal do Bitcoin ook gecontroleerd en bevestigd met andere ontwikkelaars het bestaan ​​van deze functies in de Echt digitaal broncode.

Bedoeld voor testomgevingen?

Barbosa zegt dat de Braziliaanse bank oorspronkelijk verklaarde dat “de Echt digitaal Het pilotproject is uitsluitend bedoeld voor gebruik in een testomgeving en mag niet worden gereproduceerd voor echte operaties." Toen de Centrale Bank echter naar de mogelijkheden in het rapport werd gevraagd, gaf zij toe dat het mogelijk was de door Magalhães ontdekte functies uit te voeren.

De monetaire autoriteit van het land heeft echter laten weten dat "de BC en de instellingen al over vergelijkbare functionaliteiten beschikken in de huidige omgeving van systemen als SPB en Pix, waarbij het gebruik ervan wordt beheerst door wet- en regelgeving".

De bank heeft bevestigd dat ze de functies behoudt

De Centrale Bank heeft haar plannen bevestigd om de functies te behouden die de monetaire autoriteit en geautoriseerde instanties in staat stellen om gebruikersaccounts te bevriezen, de saldi van gerichte adressen te verlagen, arresterenen nieuwe eenheden van de digitale valuta (CBDC) slaan.

Barbosa twitterde: “Tot vandaag speculeerde de bevolking alleen maar of ze na de Echt digitaal's officiële lancering; of als ze alleen voor het testnetwerk waren gemaakt.

*volledig rapport (in pt-br): https://portaldobitcoin.uol.com.br/bc-podera-cong

Deze mogelijkheid om bedragen in dit systeem te "bevriezen of te blokkeren" wordt beschermd door de huidige wetgeving in Brazilië, aldus de Centrale Bank. Hadden we echt iets anders verwacht? Waarom zouden ze die functies opgeven die het voor hen makkelijker maken om de massa te controleren?