أصدر محفظة البيتكوين Electrum الإصدار 4.8.3 في 24 أكتوبر لإصلاح ثغرة أمنية خطيرة تسمح للخوادم الضارة بإعادة توجيه مدفوعات البيتكوين إلى المهاجمين. هذه الثغرة تؤثر على جميع الإصدارات السابقة لـ 4.8.3. تم وضع التصحيح في مستودع الكود في 23 أكتوبر، و أصبحت الإصدارات القابلة للتنفيذ متاحة في اليوم التالي.
يستغل الهجوم ثقة Electrum في الخوادم عند التعامل مع المعاملات غير المؤكدة. يمكن لخادم مخترق أن يحجب الدفع الفعلي للمستخدم ويستبدل بمعاملة متعارضة تحتوي على عنوان وجهة المهاجم ورسوم صفرية. كان Electrum يعرض سابقًا المعاملة المستبدلة على أنها مشروعة في سجل المحفظة دون التحقق من التوقيعات. تجعل الرسوم الصفرية الدفع يبدو متوقفًا.
مستخدم يزيد رسوم الدفع الظاهرة يوقع ويبث معاملة جديدة صالحة ترسل الأموال إلى المهاجم. لا تصل الدفعة الأصلية أبدًا إلى الشبكة، مما يجعل معاملة زيادة الرسوم هي أول دفعة تُبث فعليًا. قال مطور Electrum SomberNight، الذي نشر التحذير، إن المهاجمين يمكنهم توليد عنوان وجهة تتطابق آخر أربعة أحرف منه مع عنوان المستلم المقصود. وبالتالي، سيرى المستخدم الذي يتحقق فقط من تلك الأحرف تطابقًا ظاهريًا.
يُشير التحذير إلى أن بعض الخوادم تقوم نشطًا بالهجوم، ويعتمد على تقريرين من مستخدمين. قام مستخدم يُعرف باسم dannydeezy أولًا بتسجيل نشاط مشبوه على الخادم في 11 أكتوبر. بقيت المعاملة المُزوَّرة على الخادم المحلي، ولم تُفقد أي أموال. وأبلغ مستخدم ثانٍ، Raju-K12، عن فقدان أمواله في 18 أكتوبر بعد زيادة الرسوم على معاملة مُزوَّرة.
الإصدار 4.8.3 يتحقق من التوقيعات التشفيرية على المدخلات التابعة للمحفظة قبل تسجيل المعاملة غير المؤكدة في السجل المحلي. يمنع هذا التصحيح الخادم من إدراج معاملة مزيفة تتضمن عناوين المستخدم الخاصة دون توقيعات صالحة، والتي لا يمكن للمهاجمين تزويرها. ومع ذلك، لا يزال Electrum يقبل المعاملات الواردة دون التحقق من التوقيعات عندما لا تنتمي أي من المدخلات إلى محفظة الاستقبال. وقد أقر SomberNight بالفجوة المتبقية في التحذير، وقال إن معالجة هذه الفجوة تتطلب مزيدًا من العمل.
واجه Electrum حملة بدأت في عام 2018 واستخدمت خوادم ضارة لعرض إشعارات تحديث مزيفة. وقد سرقت هذه الحملة ما يقدر بـ 25 مليون دولار من مستخدمي Electrum بحلول عام 2020. يسمح Electrum لأي شخص بتشغيل خادم، مما يجعل هذا النوع من الهجمات ممكنًا.
المستخدمون المتصلون فقط بخادم يديره المستخدمون أنفسهم غير متأثرين. يجب على المستخدمين الذين لا يستطيعون التحديث فورًا التحقق يدويًا من عناوين الوجهة والكميات قبل التوقيع على أي معاملة. متاح Electrum 4.8.3 من خلال موقع المشروع وGitHub.