أصدر محفظة البيتكوين Electrum الإصدار 4.8.3 في 24 أكتوبر لإصلاح ثغرة أمنية خطيرة سمحت للخوادم الضارة بإعادة توجيه مدفوعات البيتكوين إلى المهاجمين. هذه الثغرة تؤثر على كل الإصدارات السابقة لـ 4.8.3. تم وضع التصحيح في مستودع الكود في 23 أكتوبر، و أصبحت الإصدارات القابلة للتنفيذ متاحة في اليوم التالي.
يستغل الهجوم ثقة Electrum في الخوادم عند التعامل مع المعاملات غير المؤكدة. يمكن لخادم مخترق أن يحجب الدفع الفعلي للمستخدم ويستبدل بمعاملة متعارضة تحتوي على عنوان وجهة المهاجم ورسوم صفرية. كان Electrum يعرض سابقًا المعاملة المستبدلة على أنها مشروعة في سجل المحفظة دون التحقق من التوقيعات. تجعل الرسوم الصفرية الدفع يبدو متوقفًا.
مستخدم يزيد رسوم الدفع الظاهرة يوقّع ويبث معاملة جديدة صالحة تُرسل الأموال إلى المهاجم. لا تصل الدفعة الأصلية أبدًا إلى الشبكة، مما يجعل معاملة زيادة الرسوم هي أول دفعة تُبث فعليًا. قال مطور Electrum SomberNight، الذي نشر التحذير، إن المهاجمين يمكنهم إنشاء عنوان وجهة تتطابق أربع حروف أخيرة منه مع عنوان المستلم المقصود. وبالتالي، سيرى المستخدم الذي يتحقق فقط من تلك الحروف مطابقة ظاهرية.
يُشير التحذير إلى أن بعض الخوادم تقوم نشطًا بالهجوم، ويعتمد على تقريرين من مستخدمين. قام مستخدم مُعرّف باسم dannydeezy أولًا بتسجيل نشاط مشبوه على الخادم في 11 أكتوبر. بقيت المعاملة المُشوَّهة على الخادم المحلي، ولم تُفقد أي أموال. وأبلغ مستخدم ثانٍ، Raju-K12، عن فقدان أمواله في 18 أكتوبر بعد زيادة الرسوم على معاملة مُشوَّهة.
يتحقق الإصدار 4.8.3 من التوقيعات التشفيرية على المدخلات التابعة للمحفظة قبل تسجيل المعاملة غير المؤكدة في السجل المحلي. يمنع هذا التصحيح الخادم من إدراج معاملة مزيفة تتضمن عناوين المستخدم الخاصة دون توقيعات صالحة، والتي لا يمكن للمهاجمين تزويرها. ومع ذلك، لا يزال Electrum يقبل المعاملات الواردة دون التحقق من التوقيعات عندما لا تنتمي أي من المدخلات إلى محفظة الاستقبال. وقد أقر SomberNight بالفجوة المتبقية في التحذير، وقال إن معالجة هذه الفجوة تتطلب مزيدًا من العمل.
واجه Electrum حملة بدأت في عام 2018 واستخدمت خوادم ضارة لعرض إشعارات تحديث مزيفة. وقد سرقت هذه الحملة ما يقدر بـ 25 مليون دولار من مستخدمي Electrum بحلول عام 2020. يسمح Electrum لأي شخص بتشغيل خادم، مما يجعل هذا النوع من الهجمات ممكنًا.
المستخدمون المتصلون فقط بخادم يُديره المستخدمون أنفسهم غير متأثرين. يجب على المستخدمين الذين لا يستطيعون التحديث فورًا التحقق يدويًا من عناوين الوجهة والكميات قبل التوقيع على أي معاملة. متاح Electrum 4.8.3 من خلال موقع المشروع وGitHub.
محفظة البيتكوين Electrum تصلح ثغرة حرجة تسمح بإعادة توجيه المدفوعات
Odailyمشاركة
ملخص
أخبار البيتكوين: أصدر Electrum، محفظة البيتكوين الشهيرة، الإصدار 4.8.3 في 24 أكتوبر لإصلاح ثغرة أمنية حرجة سمحت للخوادم الخبيثة بإعادة توجيه المدفوعات إلى المهاجمين. أثر هذا العيب على جميع الإصدارات السابقة، مما سمح للخوادم المخترقة باستبدال المعاملات الحقيقية بمعاملات مزيفة باستخدام عناوين المهاجمين. أبلغ مستخدمان عن خسائر، بما في ذلك مستخدم أرسل أموالًا بعد تعديل الرسوم على معاملة مُManipulated. يتحقق الإصدار الجديد الآن من التوقيعات التشفيرية على المعاملات غير المؤكدة التي تشمل عناوين المستخدمين، على الرغم من بقاء فجوة بالنسبة للمعاملات الواردة. يُحث مستخدمو Electrum على التحقق يدويًا من المعاملات إذا لم يتمكنوا من التحديث على الفور.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.