ইলেকট্রাম বিটকয়েন ওয়ালেটের ভালনারেবিলিটি ফি বাম্প এক্সপ্লয়েটের মাধ্যমে চুরির অনুমতি দেয়

সবচেয়ে বেশি $Bitcoin চুরির জন্য আপনার সিড বাক্যাংশ প্রয়োজন হয়। এই ক্ষেত্রে তা প্রয়োজন হয়নি। বিটকয়েন ওয়ালেটের মধ্যে সবচেয়ে পুরনোগুলির একটি ইলেকট্রামের একটি ত্রুটির কারণে একটি ক্ষতিকারক সার্ভার একটি অপেক্ষমান পেমেন্টকে একটি মিথ্যা পেমেন্টে প্রতিস্থাপন করেছিল এবং তারপর আপনাকে কিছু সম্পূর্ণ সাধারণ কাজ করতে অপেক্ষা করেছিল: এটিকে দ্রুততর করুন। আপনি যখন উচ্চতর ফি অনুমোদন করলেন, তখন আপনি নিজের লেনদেনের পরিবর্তে আক্রমণকারীর লেনদেনটি সই করলেন। ২৪ অক্টোবরের আগেই কমপক্ষে একজন ব্যবহারকারীর অর্থ হারিয়েছিল। এখানে ঘটনাটির বিবরণ এবং কারণটি—যদিও আপনি কখনও ইলেকট্রাম ব্যবহার করেননি।

ইলেকট্রামের মতো লাইট ওয়ালেটগুলি সম্পূর্ণ ব্লকচেইন ডাউনলোড করে না। এগুলি আপনার লেনদেনের ইতিহাস এবং পেমেন্ট প্রচারের জন্য বাহ্যিক সার্ভারগুলিকে জিজ্ঞাসা করে। নিশ্চিত লেনদেনগুলি চেইনের বিরুদ্ধে যাচাই করা হয়, কিন্তু অপেক্ষমান লেনদেনগুলি শুধুমাত্র ওয়ালেটটি যে মূল সার্ভারের সাথে সংযুক্ত ছিল, সেই সার্ভারের উপর বিশ্বাস করে নেওয়া হয়েছিল।

সেই ফাঁকটিই ছিল খোলার সুযোগ। এই সার্ভারগুলির একটি চালানো একজন আক্রমণকারী নেটওয়ার্কে পৌঁছানোর আগে একটি বাইরের পেমেন্টকে বাধা দিতে পারত, তারপর ওয়ালেটকে একটি কৃত্রিম সংস্করণ দিত। কৃত্রিমটি আপনার কয়েনগুলি একটি ঠিকানায় ব্যয় করেছিল, যা আক্রমণকারীর নিয়ন্ত্রণে ছিল, কমপক্ষে একটি ক্ষেত্রে same last four characters বাস্তব প্রাপকের সাথে একই ছিল, এবং এটি এমন একটি ফি বহন করত যা কখনই নিশ্চিত হত না। ওয়ালেটটি এটিকে একটি বৈধ অপেক্ষমান পেমেন্ট হিসাবে প্রদর্শন করছিল।

তারপর আসলো বাইট। একটি আটকে যাওয়া লেনদেন স্বাভাবিকভাবেই ব্যবহারকারীদের Replace-by-Fee-এর দিকে ঠেলে দেয়, যা ধীর পেমেন্ট বাড়ানোর জন্য বিটকয়েনের মানক ফিচার। Electrum-এ, ফি বাড়ানোর অর্থ হলো ইতিহাসে দেখানো লেনদেনটি পুনরায় স্বাক্ষর করা। যেহেতু সেই লেনদেনটি আক্রমণকারীর ছিল, স্বাক্ষরটি বৈধ ছিল, কয়েনগুলি সরে গেল, এবং চুরির ঘটনাটি একটি সাধারণ ফি বৃদ্ধির মতো দেখাচ্ছিল।

অক্টোবর ২৪-এ ইলেকট্রাম সমস্যাটি প্রকাশ করে এবং নিশ্চিত করে যে কিছু সার্ভার এটি সক্রিয়ভাবে দুর্বলতা ব্যবহার করছে। প্রথম প্রতিবেদনটি আসে অক্টোবর ১১-এ, একজন ব্যবহারকারী যিনি দুটি হার্ডওয়্যার ওয়ালেট সহ দুই-অফ-থ্রি মাল্টিসিগ সেটআপ চালাচ্ছিলেন, তিনি ইতিহাসে একটি বিদেশী বহির্মুখী লেনদেন দেখতে পান, কিন্তু তাঁর অর্থ হারাননি। দ্বিতীয় একজন ব্যবহারকারীর এতটাই ভাগ্যবান ছিল না। ডেভেলপারদের দ্বারা চুরি হওয়া পরিমাণ বা জড়িত সার্ভারগুলির নাম প্রকাশ করা হয়নি।

যারা শুধুমাত্র নিজের সার্ভার বা যে সার্ভারে তারা বিশ্বাস রাখে তার সাথে সংযুক্ত হয়, তাদের কখনই প্রভাবিত করা হয়নি। 4.8.3-এর নিচের যে কোনো ভার্সন চালানো হচ্ছে, সেই সবাই এখনও ঝুঁকিপূর্ণ, যতক্ষণ ওয়ালেটটি একটি দুষ্টু সার্ভারে পৌঁছায়।

সংস্করণ 4.8.3 আপনার নিজের ওয়ালেট থেকে কয়েন ব্যয় করা অনিশ্চিত লেনদেনগুলির জন্য স্বাক্ষর চেক যোগ করে। একটি সার্ভার এখন আপনার ইতিহাসে একটি অবৈধ লেনদেন ঢুকিয়ে দিতে পারবে না এবং ওয়ালেটকে এটিকে বাস্তব হিসাবে প্রদর্শন করতে দেবে না। আপডেটটি শুধুমাত্র electrum.org থেকে ডাউনলোড করুন, কখনও ওয়ালেটের ভিতরের পপ-আপ বা বার্তায় থাকা লিঙ্ক থেকে ডাউনলোড করবেন না। 2019 সালে, ঠকানোর মতো আপডেটের প্রম্পটের কারণে ইলেকট্রাম ব্যবহারকারীদের ক্ষতি হয়েছিল, যখন অবৈধ সার্ভারগুলি $4.6 মিলিয়নেরও বেশি ফাঁকি দিয়েছিল।

এই পাঠটি শুধু একটি ওয়ালেট ছাড়াও বিস্তৃত। যে কোনো সফটওয়্যার যা অনিশ্চিত ডেটার জন্য তৃতীয় পক্ষের উপর নির্ভরশীল, তারও একই দুর্বলতা রয়েছে, তাই কিছু অভ্যাস বজায় রাখা উচিত:

• প্রতিটি ফি বাম্পকে একটি নতুন লেনদেন হিসাবে বিবেচনা করুন। সাইনিং স্ক্রিনে সম্পূর্ণ প্রাপক ঠিকানা এবং পরিমাণ চেক করুন, শুধুমাত্র শেষ কয়েকটি অক্ষর নয়।
• ডিভাইসে নিশ্চিত করুন। যদি আপনি হার্ডওয়্যার ওয়ালেট ব্যবহার করেন, তাহলে এর ডিসপ্লেতে গন্তব্যটি যাচাই করুন। মাল্টিসিগ ব্যবহারকারী ঠিক এই কারণে এই আক্রমণটি ধরে ফেলেছিলেন যে হার্ডওয়্যারটি কিছু ভিন্ন দেখাচ্ছিল।
• আপনার নিজের নোড বা আপনি যে সার্ভার নিয়ন্ত্রণ করেন, সেটি পছন্দ করুন। আক্রমণটি শুধুমাত্র তখনই কাজ করে যখন একজন অপরিচিত ব্যক্তি আপনার ওয়ালেটকে এর ইতিহাস প্রদান করে।
• ওয়ালেট সফটওয়্যারটি আপ-টু-ডেট রাখুন এবং যখন সম্ভব ডেভেলপারের সিগনেচার দিয়ে ডাউনলোড যাচাই করুন।

সেলফ-কাস্টডি আপনাকে নিরাপত্তা-এর দায়িত্ব দেয়, এবং এর মধ্যে বোরিং ধাপগুলোও অন্তর্ভুক্ত। একটি ত্রিশ সেকেন্ডের ঠিকানা চেক এখনও ক্রিপ্টো-এর সবচেয়ে সস্তা বীমা। আমাদের দামের পৃষ্ঠায় বর্তমান বিটকয়েন দাম এবং ব্যাপক বাজারটি ট্র্যাক করুন।