ইলেকট্রাম বিটকয়েন চুরির জন্য প্রাইভেট কী ছাড়াই সুরক্ষা ত্রুটি ঠিক করেছে

ইলেকট্রাম একটি সুরক্ষা দুর্বলতা ঠিক করেছে যা ব্যবহারকারীদের লেনদেন ফি বাড়ানোর সময় বিটকয়েন পেমেন্টকে পুনঃনির্দেশিত করতে পারত, ব্যক্তিগত চাবি চুরি করার প্রয়োজন ছাড়াই। ডেভেলপাররা ২৪ অক্টোবর এই দুর্বলতার ঘোষণা করেন এবং নিশ্চিত করেন যে ক্ষতিকারক সার্ভারগুলি এই দুর্বলতার দুর্ব্যবহার করেছে। ডেভেলপাররা নিশ্চিত করেছেন যে অন্তত একজন ব্যবহারকারী অজান্তেই একটি প্রতারণামূলক লেনদেনকে অনুমোদন করেছিলেন এবং বিটকয়েন হারিয়েছিলেন। উচ্চ-গুরুত্বপূর্ণ দুর্বলতাটি ৪.৮.৩-এর আগের সংস্করণগুলিকে প্রভাবিত করে।

এই প্রকাশ অক্টোবর ১১ এবং অক্টোবর ১৮ তারিখে প্রাপ্ত অভিযোগের পরে হয়। প্রথম অভিযোগকারী পেমেন্ট প্রচারের পর ওয়ালেটে একটি অপরিচিত লেনদেন দেখেন। দ্বিতীয় অভিযোগকারী একটি অপেক্ষমান ট্রান্সফার ত্বরান্বিত করার চেষ্টায় তাঁর অর্থ হারানোর কথা জানান। উভয় ঘটনায় আক্রমণকারীরা বিটকয়েন ঠিকানা তৈরি করেছিল, যাদের শেষ চারটি অক্ষর উদ্দিষ্ট প্রাপকের ঠিকানার সাথে মিলে যায়। এই সাদৃশ্যগুলি কেবলমাত্র একটি ঠিকানার কিছু অংশ পরীক্ষা করা ব্যবহারকারীদের বিভ্রান্ত করতে পারে।

এই দুর্বলতা অননুমোদিত লেনদেন সম্পর্কে তথ্যের জন্য Electrum-এর বাহ্যিক সার্ভারের উপর নির্ভরশীলতাকে দুর্বৃত্তভাবে ব্যবহার করে। একটি ক্ষতিকারক সার্ভার একজন ব্যবহারকারীর প্রচারিত পেমেন্টকে নেটওয়ার্কে পৌঁছানো থেকে বন্ধ করে দিতে পারে এবং একটি বিপরীত লেনদেন প্রদান করতে পারে যা অর্থগুলিকে একটি আক্রমণকারী-নিয়ন্ত্রিত ঠিকানায় পাঠায়। প্রতিস্থাপিত লেনদেনটি প্রাথমিকভাবে অবৈধ স্বাক্ষরসহ থাকে, এবং তাই এটি একটি বৈধ পেমেন্ট হিসাবে প্রক্রিয়াকরণযোগ্য নয়। তবে, দুর্বল Electrum ক্লায়েন্টগুলি স্বাক্ষরগুলি পরীক্ষা না করেই অননুমোদিত লেনদেনের ইতিহাসে প্রতিস্থাপিত লেনদেনটি প্রদর্শন করত। ফলস্বরূপ, প্রকৃত পেমেন্টটি সেই দৃশ্যথেকে অদৃশ্য হয়ে যায়, যখন প্রতারণামূলক পেমেন্টটি যাচাইয়ের জন্য অপেক্ষা করছে বলে মনে হয়।

আক্রমণকারীরা তারপর বিটকয়েনের রিপ্লেস-বাই-ফি ফিচারটি দুর্ব্যবহার করতে পারে, যা ব্যবহারকারীদের দেরি হওয়া লেনদেনগুলি নিশ্চিত করার জন্য ফি বাড়ানোর অনুমতি দেয়। যদি ব্যবহারকারী কৃত্রিম লেনদেনের ফি হাতে বাড়ায়, তাহলে ইলেকট্রাম প্রতিস্থাপিত পেমেন্টের বিবরণগুলি অনুমোদন করার জন্য নতুন স্বাক্ষর তৈরি করে। নতুন অনুমোদনটি আক্রমণকারী-নির্দেশিত পেমেন্টকে বৈধ করে এবং ব্যবহারকারীর প্রাইভেট কীগুলির প্রকাশ ছাড়াই চুরির সম্ভাবনা তৈরি করে। অক্টোবর 18-এর ঘটনায়, আক্রমণকারীদের কৃত্রিম লেনদেনটিকে শূন্য ফি দেওয়ার দাবি করা হয়েছে, যা শিকারকে ফি বাড়ানোর প্ররোচনা দিতে পারে। এই আক্রমণটি যথেষ্ট পরীক্ষা-নিরীক্ষা ছাড়াইঅবিশ্বস্ত সার্ভারের কাছে থেকে লেনদেনের বিবরণগুলি গ্রহণের ঝুঁকির প্রমাণ।

সর্বশেষ ইলেকট্রাম রিলিজে অননুমোদিত লেনদেনগুলিকে স্থানীয় ইতিহাসে যোগ করার আগে ওয়ালেট-স্বত্বাধিকারী ইনপুটগুলির স্বাক্ষর যাচাই করা হয়। এই যাচাইগুলি প্রতিবেদিত প্রতিস্থাপন পদ্ধতিকে ফি সমায়োজনে এগিয়ে যাওয়া থেকে বাধা দেয়। ডেভেলপাররা ২৩ অক্টোবরে সংস্করণ ৪.৮.৩ ট্যাগ করেন। ২৪ অক্টোবরে ডেভেলপাররা এই আপডেটটি প্রকাশ্যে নিরাপত্তা প্রকাশের সাথে বিতরণ করেন।

ডেভেলপাররা ব্যবহারকারীদের প্যাচটি ইলেকট্রামের অফিসিয়াল ওয়েবসাইটের মাধ্যমে পাওয়ার পরামর্শ দিয়েছেন। ডেভেলপাররা আরও জোর দিয়েছেন যে ব্যবহারকারীদের প্রতিবার লেনদেন সই করার সময় পূর্ণ প্রাপক ঠিকানা এবং পেমেন্টের পরিমাণ পরীক্ষা করতে হবে। এই সতর্কবার্তায় বলা হয়েছে যে বিশ্বস্ত সার্ভার, যার মধ্যে ব্যক্তিগতভাবে পরিচালিত সার্ভারও অন্তর্ভুক্ত, এই আক্রমণের প্রতি সংবেদনশীল নয়। প্যাচটি প্রতিটি আগত লেনদেনের জন্য সইয়ের যাচাইকরণ করে না।

ইলেকট্রাম চুরি হওয়া পরিমাণ প্রকাশ করেনি। ইলেকট্রামের রক্ষণাবেক্ষণকারীরা নিশ্চিত করেছেন যে কিছু সার্ভার সক্রিয়ভাবে আক্রমণ চালাচ্ছিল। দুর্বলতাগ্রস্ত ওয়ালেটের সংখ্যা এবং মোট চুরি হওয়া অর্থের পরিমাণ এখনও সমাধান হয়নি।