إلكتروم يُصلح ثغرة أمنية تسمح بسرقة البيتكوين دون الحاجة إلى المفاتيح الخاصة

أصلح Electrum ثغرة أمنية سمحت للمهاجمين بإعادة توجيه مدفوعات البيتكوين عندما يزيد المستخدمون رسوم المعاملة، دون سرقة المفاتيح الخاصة. وأعلن المطورون عن هذه الثغرة في 24 أكتوبر، وتأكيد أن الخوادم الضارة استغلت هذه الثغرة. وتأكيد المطورين أن على الأقل مستخدمًا واحدًا وافق دون علم على معاملة احتيالية وخسر بيتكوين. وتؤثر هذه الثغرة ذات الخطورة العالية على الإصدارات السابقة لـ 4.8.3.

جاء الإفصاح بعد تلقي شكاوى في 11 أكتوبر و18 أكتوبر. رأى المُشتكِي الأول معاملة غير مألوفة في المحفظة بعد إرسال الدفعة. وأبلغ المُشتكِي الثاني عن فقدان الأموال أثناء محاولته تسريع تحويل معلق. وقد أنشأ المهاجمون في الحالتين عناوين بيتكوين تتطابق آخر أربعة أحرف منها مع عناوين المستلمين المقصودين. ويمكن لهذه التشابهات أن تخدع المستخدمين الذين يتحققون فقط من جزء من العنوان.

تستغل الثغرة اعتماد Electrum على خوادم خارجية للحصول على معلومات حول المعاملات غير المؤكدة. يمكن لخادم ضار منع دفع المستخدم المُبث من الوصول إلى الشبكة، وتقديم معاملة متعارضة تُوجّه الأموال إلى عنوان يتحكم فيه المهاجم. تحتوي المعاملة البديلة في البداية على توقيعات غير صالحة، وبالتالي لا يمكن معالجتها كدفع صالح. ومع ذلك، عرضت عملاء Electrum المعرضون للخطر المعاملة البديلة في سجل المعاملات غير المؤكدة دون التحقق أولاً من التوقيعات. وبالتالي، تختفي المعاملة الأصلية من هذا العرض، بينما تبدو المعاملة الاحتيالية وكأنها تنتظر التأكيد.

يمكن للمهاجمين بعد ذلك إساءة استخدام ميزة "استبدال بالرسوم" في البيتكوين، والتي تسمح للمستخدمين بزيادة الرسوم لتحفيز عمال المناجم على تأكيد المعاملات المتأخرة. ينشئ Electrum توقيعات جديدة تُوافق على تفاصيل الدفع البديلة إذا قام المستخدم بزيادة رسوم المعاملة الاحتيالية يدويًا. يُصدّق هذا التصديق الجديد على دفعات المهاجم وتمكّن من السرقة دون كشف المفاتيح الخاصة للمستخدم. ووفقًا للتقارير، قام المهاجمون بتعيين رسوم صفرية على المعاملة الاحتيالية في حادثة 18 أكتوبر، مما قد يدفع الضحية إلى زيادة الرسوم. تُظهر هذه الهجمة خطر قبول تفاصيل المعاملات من خادم غير موثوق دون فحوصات كافية.

يتحقق إصدار Electrum الأحدث من التوقيعات على المدخلات المملوكة للمحفظة قبل إضافة المعاملات غير المؤكدة إلى السجل المحلي. تمنع هذه التحققّات طريقة الاستبدال المبلغ عنها من التقدم إلى تعديل الرسوم. قام المطورون بوضع علامة على الإصدار 4.8.3 في 23 أكتوبر. قام المطورون بتوزيع التحديث في 24 أكتوبر مع الإفصاح الأمني العام.

نصح المطورون المستخدمين بالحصول على التصحيح من خلال الموقع الرسمي لـ Electrum. كما حث المطورون المستخدمين على التحقق من عناوين المستلمين الكاملة وكميات الدفع في كل مرة يوقعون فيها المعاملات. ويذكر التحذير أن العملاء الذين يستخدمون خوادم موثوقة فقط، بما في ذلك الخوادم الخاصة، غير معرضين لهذا الهجوم. لا يتحقق التصحيح من التوقيعات لكل معاملة واردة.

لم يكشف إلكترم عن المبلغ المسروق. وأكد مطورو إلكترم أن بعض الخوادم كانت تُجري الهجوم بنشاط. لا يزال عدد المحافظ المخترقة والإجمالي الكلي للأموال المسروقة غير مُحَلَّل.