يصلح Bitcoinjs-lib خطأين قد يسببان تقليل تقدير الرسوم

لقد أصلح مكتبة Bitcoinjs-lib، وهي مكتبة برمجية لبناء تطبيقات البيتكوين، خطأين يمكن أن يسببان تقديرًا غير دقيق لرسوم عمال المناجم على المعاملات الصالحة. تحدد الإفصاحات الأمنية في 26 أكتوبر الإصدارات المصححة 5.2.2 و6.1.9 و7.0.4 للخطوط الإصدارية المقابلة. تتعرض التطبيقات للخطر عندما تستورد التطبيقات الحزم وتعتمد على حساب الرسوم أو حماية الرسوم المفرطة من المكتبة دون التحقق المستقل من المخرجات التي يتم إنفاقها.

تشمل العيوب معاملات بيتكوين الموقعة جزئيًا (PSBTs). يُعرّف BIP 174 PSBTs كصيغة لتبادل تفاصيل المعاملات والتوقيعات بين العملاء. لا تزال عملية التوقيع، ودمج التوقيعات، وتوحيد المدخلات، واستخراج المعاملة عمليات منفصلة، حتى داخل تطبيق واحد. تدفع معاملة بيتكوين رسومًا تساوي إجمالي قيمة المدخلات ناقص إجمالي قيمة المخرجات. وبالتالي، فإن التقليل من قيمة مدخل ما يجعل الرسوم المحسبة تبدو أقل.

الخلل الأول يسمح لعملية التوقيع وحساب الرسوم بتعيين قيم مختلفة لنفس المدخل. يعتمد التوقيع على المعاملة السابقة الكاملة، بينما تفضل حسابات الرسوم سجلاً متعارضاً بقيمة أقل. وبالتالي، يمكن للبرمجيات المعرضة للخطر أن تُصرح بالمعاملة الفعلية بينما تُقيّم رسماً غير صحيح. يصف التحذير مثالاً باستخدام bitcoinjs-lib 7.0.1، حيث كانت الرسوم الفعلية 900,000,000 ساتوشي والرسوم المبلغ عنها 200 ساتوشي. وأنتج هذا المثال توقيعاً موثوقاً وسمح بالاستخراج دون تفعيل تحذير معدل الرسوم الافتراضي.

الإشعار الثاني يصف مدخلات مُكتملة تفتقر إلى سجلات قيمة المدخلات. يعامل حاسب الرسوم هذه المدخلات على أنها ذات قيمة صفرية. يمكن لتطبيق استيراد PSBT موقّع مسبقًا من طرف آخر والوصول إلى هذا الحساب دون التوقيع مرة أخرى. يعرض الإشعار الثاني معاملة افتراضية برسوم فعلية قدرها 91,000 ساتوشي ورسوم مُبلغ عنها قدرها 1,000 ساتوشي. لا تُحدد النصوص والتوقيعات المكتملة، بذاتها، قيمة المدخل الذي تفتقر سجلات قيمته إلى وجودها.

يؤثر عيب السجلات المتعارضة على الإصدارات من 5.2.0 إلى 5.2.1، والإصدارات من 6.0.0 إلى 6.1.8 بما في ذلك 6.1.0-rc.0، والإصدارات من 7.0.0-rc.0 إلى 7.0.3. ويؤثر عيب السجلات المفقودة على نفس إصدارات 6 و7، بالإضافة إلى الإصدارات من 5.1.0 إلى 5.2.1. يتطلب الخسارة المالية إرسال معاملة مُصرّح بها وصحيحة إلى الشبكة وقبولها. لا يمكن للثغرات توليد التوقيعات، ويعود القيمة الزائدة إلى عمال المناجم كرسوم.

تُحسّن التصحيحات عملية التوقيع والمحاسبة باستخدام طريقة واحدة لحل المخرجات السابقة. ترفض التصحيحات القيم أو السكريبتات المتعارضة وتطالب بقيمة لكل مدخل عند حساب الرسوم. كما تُبطل التصحيحات الرسوم المخزنة والمعاملات المستخرجة بعد تغييرات أو مجموعات ذات صلة بالبيانات الوصفية. يجب على المديرين التحقق من إصدارات التبعيات ومراجعة التحقق من PSBTs المستوردة. يجب على المديرين الذين لا يستطيعون الترقية التأكد بشكل مستقل من قيم المخرجات المُشار إليها. يجب على المديرين رفض السجلات المتعارضة قبل التوقيع أو الاعتماد على الرسوم المحسوبة. يجب على المديرين التحقق من قيمة كل مدخل قبل الاعتماد على الرسوم أو استخراج معاملة.