CVE-2026-90975

Nome do Software Vulnerável e Versões Afetadas mpc-lib (versões afetadas não especificadas)

Description Uma falha de implementação criptográfica na biblioteca mpc-lib, utilizada no pipeline de custódia baseado em MPC, quebra a garantia de segurança da derivação endurecida (hardened derivation) do BIP32. O problema ocorre porque a implementação não valida a presença de uma chave pai privada antes de calcular o delta de derivação. Quando o segredo pai está ausente, o sistema substitui por um buffer nulo de zeros em vez de rejeitar a operação. Este comportamento quebra o isolamento do ancestral, permitindo que um invasor que comprometeu uma cota de assinatura filha e seu código de cadeia reverta matematicamente a derivação e recupere a cota pai de nível superior. Embora isso permita a recuperação de cotas ancestrais, a proteção de limiar (threshold) do MPC ainda impede a recuperação independente de uma chave de gasto completa.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Monitore solicitações de derivação anômalas que tenham sucesso sem um contexto de chave pai válido e audite os logs em busca de operações de derivação onde o material da chave pai esteja ausente ou zerado.