বিটকয়েন ওয়ালেট ইলেকট্রাম পেমেন্ট পুনর্নির্দেশনের জন্য গুরুতর ভালারনিটি প্যাচ করেছে

বিটকয়েন ওয়ালেট ইলেকট্রাম ২৪ অক্টোবর একটি হাই-সেভিয়ার ভালনারেবিলিটি ঠিক করে ৪.৮.৩ সংস্করণ প্রকাশ করেছে, যা দুষ্টু সার্ভারকে বিটকয়েন পেমেন্টকে আক্রমণকারীদের দিকে পুনঃনির্দেশ করতে দিত। এই ভালনারেবিলিটি ৪.৮.৩-এর আগের সকল সংস্করণকে প্রভাবিত করে। সংশোধনটি ২৩ অক্টোবর কোড রিপোজিটরিতে ট্যাগ করা হয়েছিল, এবং এক্সিকিউটেবল রিলিজগুলি পরের দিন উপলব্ধ হয়।

আক্রমণটি অননুমোদিত লেনদেন পরিচালনা করার সময় Electrum-এর সার্ভারের উপর বিশ্বাসকে দুর্বলতা হিসেবে ব্যবহার করে। একটি দুর্বল সার্ভার ব্যবহারকারীর প্রকৃত পেমেন্ট বাতিল করে একটি বিপরীত লেনদেন প্রতিস্থাপন করতে পারে, যাতে আক্রমণকারীর গন্তব্য ঠিকানা এবং শূন্য ফি থাকে। Electrum আগে সাইনেচার চেক না করেই প্রতিস্থাপিত লেনদেনটিকে ওয়ালেট ইতিহাসে বৈধ হিসেবে প্রদর্শন করত। শূন্য ফির কারণে পেমেন্টটি ঠিকানা দেখায়।

একজন ব্যবহারকারী যিনি প্রতিভাত পেমেন্টের ফি বাড়ান, তিনি একটি নতুন, বৈধ ট্রানজেকশন তৈরি ও প্রচার করেন যা অর্থ আক্রমণকারীর দিকে পাঠায়। মূল পেমেন্টটি কখনই নেটওয়ার্কে পৌঁছায় না, যার ফলে ফি-বাড়ানো ট্রানজেকশনটিই প্রথম প্রকাশিত পেমেন্ট হয়ে ওঠে। এই সতর্কবার্তা প্রকাশক ইলেকট্রাম ডেভেলপার সমবারনাইট বলেছেন যে আক্রমণকারীরা এমন একটি গন্তব্য ঠিকানা তৈরি করতে পারেন যার শেষ চারটি অক্ষর উদ্দিষ্ট প্রাপকের ঠিকানার শেষ চারটি অক্ষরের সাথে মিলে যায়। এই চারটি অক্ষরই পরীক্ষা করা একজন ব্যবহারকারীর জন্য এটি একটি প্রতিভাত মিলের মতো দেখাবে।

পরামর্শটি বলে যে কিছু সার্ভার সক্রিয়ভাবে আক্রমণ চালাচ্ছে এবং দুটি ব্যবহারকারীর রিপোর্টের উল্লেখ করে। ড্যানিডিজি নামে একজন ব্যবহারকারী ১১ অক্টোবরে সন্দেহজনক সার্ভার কার্যকলাপের প্রথম রিপোর্ট দেন। সেই হস্তক্ষেপকৃত লেনদেনটি স্থানীয় সার্ভারেই থেকে যায়, এবং কোনো অর্থ হারায়নি। একজন দ্বিতীয় ব্যবহারকারী, রাজু-কে-১২, ১৮ অক্টোবরে একটি হস্তক্ষেপকৃত লেনদেনের ফি বাড়ানোর পর অর্থ হারানোর কথা জানান।

সংস্করণ 4.8.3 স্থানীয় ইতিহাসে একটি অপ্রতিষ্ঠিত লেনদেন রেকর্ড করার আগে ওয়ালেটের সদস্য ইনপুটগুলির ক্রিপ্টোগ্রাফিক স্বাক্ষর যাচাই করে। এই প্যাচটি একটি সার্ভারকে ব্যবহারকারীর নিজস্ব ঠিকানাগুলির সাথে সম্পৃক্ত একটি মিথ্যা লেনদেন বৈধ স্বাক্ষর ছাড়াই সন্নিবেশ করতে বাধা দেয়, যা আক্রমণকারীরা প্রতারণা করতে পারে না। তবে, Electrum এখনও প্রাপক ওয়ালেটের কোনো ইনপুটই না থাকলে স্বাক্ষর যাচাই ছাড়াই আগমনী লেনদেনগুলি গ্রহণ করে। SomberNight এডভাইজরিতে অবশিষ্ট ফাঁকটির স্বীকৃতি দিয়েছেন এবং বলেছেন যে এই ফাঁকটি সমাধানের জন্য আরও কাজের প্রয়োজন।

2018 সাল থেকে শুরু হওয়া একটি অভিযানে ইলেকট্রামের বিরুদ্ধে ক্ষতিকারক সার্ভার ব্যবহার করে প্রতারণামূলক আপডেট নোটিফিকেশন প্রদর্শন করা হয়েছিল। 2020 সালের মধ্যে এই অভিযানটি ইলেকট্রাম ব্যবহারকারীদের থেকে প্রায় 25 মিলিয়ন ডলার চুরি করেছিল। ইলেকট্রাম যেকোনো ব্যক্তিকে সার্ভার চালানোর অনুমতি দেয়, যা এই ধরনের আক্রমণকে সম্ভব করেছে।

যারা শুধুমাত্র নিজেদের পরিচালিত সার্ভারে কানেক্ট করেন, তাদের কোনো প্রভাব পড়বে না। যারা তাৎক্ষণিকভাবে আপডেট করতে পারছেন না, তাদের যেকোনো লেনদেন সই করার আগে গন্তব্য ঠিকানা এবং পরিমাণ ম্যানুয়ালি চেক করা উচিত। Electrum 4.8.3 প্রকল্পের ওয়েবসাইট এবং GitHub-এ উপলব্ধ।