De GoBalance kwetsbaarheid laat zien hoe een klein foutje in een software-implementatie grote gevolgen kan hebben. Volgens meldingen door Searchlight Cyber kon iemand met alleen publieke informatie de sleutel achter een .onion-adres herleiden. Met die sleutel kan een aanvaller het adres “overnemen” en bezoekers doorsturen naar een kopie die de aanvaller beheert.
Belangrijk: het overnemen van een .onion-adres betekent niet dat de aanvaller direct toegang krijgt tot servers, databases of opgeslagen gebruikersdata van de getroffen dienst. De impact zit vooral in omleiding en vertrouwen.
Wat doet GoBalance precies?
GoBalance is een tool die veel dark-webdiensten gebruiken om bereikbaar te blijven tijdens aanvallen. Het is een Go-herimplementatie van het Onionbalance load balancer-concept van Tor, bedoeld om locaties en routing te ondersteunen wanneer een site onder druk komt te staan, bijvoorbeeld bij denial-of-service.
Om een .onion-adres bereikbaar te houden, publiceert een dienst op het Tor-netwerk een descriptor: een door de dienst ondertekend record dat anderen kunnen ophalen. Daarmee kan de Tor-infrastructuur de juiste informatie associëren met het adres.
Waarom kan een .onion-adres worden “gekaapt”?
Een .onion-adres is in essentie gekoppeld aan een sleutelstructuur: degene die de bijbehorende privé-sleutel bezit, controleert het adres. In normale omstandigheden is die privésleutel geheim.
Het probleem in de GoBalance kwetsbaarheid zit in de manier waarop de signingstap wordt uitgevoerd. Searchlight Cyber stelt dat GoBalance een Tor-privésleutel van 64 bytes gebruikt, maar tijdens het ondertekenen slechts de eerste 32 bytes doorgeeft aan de signer. Het tweede, weggelaten deel bevat net dat stukje dat nodig is om de “secret value” in de handtekening verborgen te houden.
Door dat deel weg te laten, wordt die geheimhouding doorbroken. Daardoor kan een aanvaller met één publieke descriptor de benodigde sleutel reconstrueren. Het draait dus niet om server-inbraak: de sleutel volgt uit wat al publiek is gepubliceerd.
De omleiding waar bezoekers mee te maken krijgen
Wanneer een aanvaller de relevante sleutel heeft teruggevonden, kan die vervolgens geldige records ondertekenen en het .onion-adres richting een door de aanvaller gecontroleerde kopie richten. Bezoekers die de oorspronkelijke dienst verwachten, worden dan naar de verkeerde bestemming gestuurd.
Dat betekent in de praktijk vooral risico op phishing-achtige scenario’s of misleiding: gebruikers kunnen denken dat ze met de originele site communiceren, terwijl ze eigenlijk bij een gecontroleerde variant uitkomen.
Het artikel benadrukt daarbij dat dit niet automatisch toegang geeft tot serverkant. De aanvaller “krijgt” vooral het adres, niet de infrastructuur achter de dienst.
Welke services lopen risico?
GoBalance zelf is gebaseerd op Onionbalance, en Searchlight Cyber koppelt de fout aan de Go-implementatie. De meldingen stellen daarnaast dat de oorspronkelijke Onionbalance en Tor zelf niet zijn getroffen.
Verder lijkt het risico niet voor elke GoBalance-installatie gelijk. De kwetsbaarheid zou alleen gelden voor sites waarbij de master key in een specifiek (Tor) key-formaat is opgeslagen. Volgens Searchlight schrijft het GoBalance-setupgereedschap sleutels in een “veiligere” variant die niet onder hetzelfde probleem valt. Daardoor kan het voorkomen dat niet alle diensten die GoBalance draaien daadwerkelijk kwetsbaar zijn.
Een extra nuance: GoBalance wordt door dark-web operators gebruikt in combinatie met toolkits zoals EndGame, die inzetbaar zijn om sites online te houden tijdens denial-of-service-aanvallen. Ook daar geldt: het probleem zit in de GoBalance rewrite, niet in de bredere use-case.
Dread en Omega: voorbeelden van overgenomen adressen
Het bewijs kwam naar voren in de praktijk rond Dread, een van de bekendere dark-webforums. Tussen 5 en 7 oktober werden twee .onion-adressen van Dread overgenomen en gericht op een rivaliserende dienst.
Op 5 oktober zei een van de beheerders (Paris) dat het eerste adres was gecompromitteerd door een eigen fout: hij gaf aan dat hij de “main onion private key” van Dread in een GoBalance-update had geüpload.
Twee dagen later kwam ook het tweede adres aan het licht: een backup voor premiumleden. Dat is lastiger te verklaren als een simpele slip. Daarom concludeerden beheerders en onderzoekers dat de aanval mogelijk via de GoBalance kwetsbaarheid was uitgevoerd. Searchlight Cyber beschouwt de tweede overname als een sterker signaal, terwijl het eerste incident nog als een aparte sleutel-lek wordt behandeld.
Dread heeft inmiddels een nieuw adres gebruikt en gebruikers geadviseerd hun wachtwoorden aan te passen. In een ondertekende mededeling op 7 oktober stelde het team dat het forum was gemigreerd “permanent”, vanwege onion-private-key exposure via een kwetsbaarheid in third-party software. Daarbij werd ook aangegeven dat andere verborgen diensten mogelijk geraakt zijn, terwijl de servers volgens de beheerders niet zijn ingebroken.
Ook Omega, een dark-webmarkt, bevestigde publiekelijk dat het zijn oude adres offline had gehaald op 8 oktober “door een issue veroorzaakt door de GoBalance bug” en vervolgens naar een nieuw adres is verhuisd.
Is er al een officiële fix?
Op het moment van de berichtgeving was er volgens The Hacker News geen officieel fix. Er was geen CVE-identifier gevonden in de US National Vulnerability Database en er ontbrak een openbaar advies van het Tor Project of de maintainer van GoBalance.
Wel werd melding gemaakt van een onafhankelijke onderzoeker die een patch en een proof-of-concept publiceerde. Die demonstratie zou uitgaan van testsleutels en geen echte dienst gericht hebben. The Hacker News vermeldt dat ze de code niet hebben uitgevoerd en dat het niet als officiële release geldt.
Wat moeten operators en gebruikers nu doen?
Voor beheerders is het cruciaal om te beseffen dat een patch niet automatisch “terugdraait” wat al is gelekt. Zodra een descriptor is gepubliceerd en informatie in de descriptor een sleutel kan onthullen, kan die exposure niet ongedaan worden gemaakt.
Daarom is een veilig pad doorgaans: een nieuw .onion-adres aanmaken en migreren. Dread en Omega hebben precies die aanpak gevolgd door hun oude adressen uit gebruik te nemen en nieuwe adressen te gebruiken.
Voor gebruikers is het advies van Dread praktisch en veiligheidstechnisch: verander je wachtwoord op het getroffen forum en op andere diensten waarvan je vermoedt dat ze mogelijk geraakt zijn. Behandel bovendien het oude adres als onveilig.
Ten slotte is er een vertrouwenspunt: controleer nieuwe adressen via ondertekende aankondigingen. Zo voorkom je dat aanvallers met een “nieuw” adres dezelfde omleiding opnieuw doen.
Waarom dit security-incident breder relevant is
Hoewel dit incident zich afspeelt in de context van Tor en dark-webdiensten, raakt het aan een algemeen security-thema: implementatiefouten in cryptografie of ondertekening kunnen geheimhouding breken, zelfs als er verder niets “gehackt” wordt. Het feit dat het bewijs uit een publiek descriptorrecord komt, laat zien dat aanvallers soms genoeg hebben aan wat al in het normale proces zichtbaar is.
Wie met security werkt, kan dit meenemen in de eigen aanpak voor code review en threat modeling. Denk aan checks op parameters bij crypto-operaties, en aan scenario’s waarin publieke outputs herleidbaar blijken.
Wil je breder lezen over hoe aanvallen soms infrastructuur verleggen zonder klassieke server-inbraak, dan sluit dit onderwerp inhoudelijk aan op meldingen over aanvallers die kritieke componenten disrupten. Zie bijvoorbeeld hoe de VS Chinese hackingtools voor kritieke infrastructuur ontmantelt.
Conclusie
De GoBalance kwetsbaarheid toont hoe een fout in de signingstap kan leiden tot sleutelherleiding en daarmee het overnemen van .onion-adressen. De aanval geeft niet automatisch toegang tot servers of gebruikersdata, maar kan wel verkeer omleiden naar een kopie die de aanvaller beheert.
Voor operators betekent dit: patchen helpt, maar is niet genoeg—er is ook adres-migratie nodig. Voor gebruikers betekent het: vervang wachtwoorden en vertrouw alleen nieuwe adressen die ondertekend en verifieerbaar worden aangekondigd.
Bron: https://thehackernews.com/2026/10/gobalance-flaw-lets-attackers-hijack.html
