玄武阿图因（Atuin）自动化漏洞挖掘引擎发现零知识证明库 gnark 的签名可锻造性漏洞
原文中文，约7600字，阅读约需18分钟。
📝
内容提要
玄武实验室的阿图因引擎在gnark库中发现高危漏洞CVE-2025-57801，允许攻击者伪造有效签名。尽管gnark已声称进行审计，阿图因仍成功识别该漏洞。建议用户升级至v0.14.0以修复此问题。
🔎
延伸解读
漏洞影响分析
gnark库的CVE-2025-57801漏洞允许攻击者伪造有效签名，这可能导致双花攻击，严重影响交易的安全性。由于gnark被多个知名项目广泛使用，漏洞的存在可能对整个Web3生态系统造成广泛影响，用户需高度重视。
审计与漏洞挖掘的局限性
尽管gnark声称已进行审计，但阿图因引擎仍发现了漏洞，表明现有审计机制可能存在不足。这提醒开发者在依赖审计结果时应保持谨慎，考虑使用自动化工具进行补充检测，以提高安全性。
用户升级建议
建议所有使用gnark的项目立即升级至v0.14.0版本，以修复已知漏洞。此外，用户应检查其协议中是否依赖于签名生成的nullifier或交易标识符，必要时重构防重放机制，以增强系统的安全性。
❓
Q&A
gnark库中的CVE-2025-57801漏洞是什么？
CVE-2025-57801漏洞允许攻击者伪造有效签名，CVSS评分为8.6。
如何修复gnark库中的漏洞？
用户应立即升级至gnark v0.14.0以修复该漏洞。
阿图因引擎的主要功能是什么？
阿图因引擎是一款自动化漏洞挖掘系统，具备发现高复杂性漏洞的能力。
gnark库的漏洞是如何被发现的？
漏洞由玄武实验室的阿图因引擎发现，尽管gnark声称已进行审计。
gnark库的漏洞可能导致什么后果？
该漏洞可能导致双花攻击，破坏交易的安全性。
gnark库在Web3生态中有哪些应用？
gnark库被多个知名项目使用，如Noir、WorldCoin和币安链等。
🏷️
