ইলেকট্রাম ওয়ালেট সুরক্ষা গোলযোগ সমাধান করেছে, হ্যাকাররা বিটকয়েন চুরি করেছে
ইলেকট্রাম 4.8.3 সংস্করণ প্রকাশ করেছে, যা একটি উচ্চ মাত্রার বিটকয়েন ওয়ালেট ভাঙ্গন ঠিক করে। ডেভেলপাররা নিশ্চিত করেছেন যে দুষ্টু সার্ভারগুলি এই দুর্বলতার ব্যবহার করে ব্যবহারকারীদের পেমেন্ট পুনঃনির্দেশিত করেছে এবং অ ít একটি অর্থ চুরির ঘটনা ঘটেছে।
- ইলেকট্রাম খারাপ সার্ভার যে গুরুতর ভাঙন ব্যবহার করছে তা নিশ্চিত করার পর 4.8.3 সংস্করণ প্রকাশ করেছে।
- আক্রমণকারীরা প্রক্রিয়াধীন বিটকয়েন পেমেন্টকে প্রতারণামূলক লেনদেন দিয়ে প্রতিস্থাপন করে, যখন ব্যবহারকারীরা ফি বাড়ানোর সময় ভুলবশত লেনদেনটি স্বাভাবিক বলে ধরে নিয়ে অনুমতি দিয়ে দেয়।
- দুজন ব্যবহারকারী সংশ্লিষ্ট ঘটনার প্রতিবেদন করেছেন, যার মধ্যে একজন ট্রেডিং ফি বাড়ানোর কারণে বিটকয়েন হারিয়েছেন।
- এই দুর্বলতাটি 4.8.3-এর আগের সমস্ত Electrum সংস্করণকে প্রভাবিত করে; ডেভেলপাররা এখনও মোট ক্ষতির পরিমাণ প্রকাশ করেননি।
- সেফটি প্যাচটি ওয়ালেট দ্বারা নিয়ন্ত্রিত ক্রিপ্টোকারেন্সি দ্বারা শুরু করা এবং এখনও নিশ্চিত না হওয়া লেনদেনের স্বাক্ষর যাচাই করবে।
অক্টোবর ২৪ তারিখে এই ওয়ালেট দ্বারা প্রকাশিত সুরক্ষা বিজ্ঞপ্তি অনুযায়ী, আক্রমণকারীরা অননুমোদিত বিটকয়েন লেনদেনগুলি পরিচালনা করার Electrum-এর পদ্ধতির দুর্বলতার সুযোগ নিয়ে আইনসম্মত বাইরের পেমেন্টগুলিকে প্রতারণামূলক লেনদেনে প্রতিস্থাপন করেছে; ব্যবহারকারীরা লেনদেনের ট্রানজেকশন ফি বাড়ানোর সময় এই লেনদেনগুলিকে অক্ষমতা দিয়ে ফেলতে পারেন।
Electrum হল একটি হালকা বিটকয়েন ওয়ালেট যা লেনদেনের ইতিহাস, লেনদেন প্রচার এবং অন্যান্য নেটওয়ার্ক তথ্য পেতে বাইরের সার্ভারের সাথে সংযুক্ত হয়। পূর্ণাঙ্গ বিটকয়েন নোডের বিপরীতে, এই সফটওয়্যার ব্লকচেইন ক্রিয়াকলাপের প্রতিটি ধাপকে স্বতন্ত্রভাবে প্রক্রিয়া করে না।
এর ডকুমেন্টে ব্যাখ্যা করা হয়েছে যে, ইলেকট্রাম প্রমাণিত লেনদেনগুলি সিম্পল পেমেন্ট ভেরিফিকেশন (Simple Payment Verification) এর মাধ্যমে যাচাই করে, কিন্তু অপ্রকাশিত লেনদেনগুলি প্রদর্শন করার সময় ঐতিহাসিকভাবে এর মাস্টার সার্ভারের উপর নির্ভর করেছে।
আক্রমণকারীরা এই পার্থক্যকে দুর্বৃত্ত সার্ভার ব্যবহার করে ব্যবহার করেছিল, যা বিটকয়েন নেটওয়ার্কে পৌঁছানোর আগে জমা দেওয়া লেনদেনগুলিকে বাধা দিয়েছিল এবং পরিবর্তন করেছিল।
আইনগত লেনদেন ব্রডকাস্ট বন্ধ করার পর, আক্রমণকারী একটি বিকল্প লেনদেন পাঠাতে পারে যাতে প্রাপকের ঠিকানা আক্রমণকারীর নিয়ন্ত্রণের ঠিকানায় পরিবর্তন করা হয়।
অবৈধ স্বাক্ষর সহ বিকল্প লেনদেনগুলির জন্য, ভালবাসা সংস্করণগুলি এগুলিকে ওয়ালেট ইতিহাসে প্রদর্শনের আগে স্বাক্ষরগুলি যাচাই করে না।
যখন ব্যবহারকারী একটি অপ্রতিষ্ঠিত লেনদেনকে আরও বেশি ট্রানজেকশন ফি সহ একটি অন্য লেনদেন দ্বারা প্রতিস্থাপনের জন্য Replace-by-Fee (RBF) ব্যবহার করার চেষ্টা করে, তখন এই প্রতারণা বিপজ্জনক হয়ে ওঠে। RBF হল বিটকয়েনের একটি ফিচার যা একটি অপ্রতিষ্ঠিত পেমেন্টকে আরও বেশি ফি সহ একটি লেনদেন দ্বারা প্রতিস্থাপনের অনুমতি দেয়।
ব্যবহারকারী যখন ফি সংশোধনে অনুমতি দেন, তখন তিনি অজান্তে একটি আক্রমণকারীকে পেমেন্ট করার জন্য বৈধ ট্রানজেকশন সই করতে পারেন।
ইলেকট্রাম বাস্তব জগতের আক্রমণ এবং বিটকয়েন ক্ষতি নিশ্চিত করেছে
ডেভেলপাররা দুটি গোপনীয়ভাবে রিপোর্ট করা ঘটনা প্রকাশ করেছেন, যা এই ভালনাটির কেবল তাত্ত্বিক আক্রমণ নয় বলে প্রমাণিত হয়েছে।
অক্টোবর ১১ তারিখে, dannydeezy নামের একজন ব্যবহারকারী জানান যে, ইলেকট্রামের ইতিহাসে একটি লেনদেন প্রাথমিকভাবে জমা দেওয়া পেমেন্টের সাথে সামঞ্জস্যপূর্ণ নয়।
18 অক্টোবর, অন্য একজন ব্যবহারকারী রাজু-কে 12 ট্রেডিং ফি বাড়ানোর চেষ্টায় তার অর্থ হারান এবং ডেভেলপারদের সাথে যোগাযোগ করেন।
ঘোষণাটি অনুযায়ী, এই দুটি ঘটনাই আক্রমণকারী দ্বারা নিয়ন্ত্রিত প্রাপক ঠিকানার সাথে সম্পৃক্ত, এবং এই ঠিকানাগুলি লক্ষ্য প্রাপকের বিটকয়েন ঠিকানার শেষ চারটি অক্ষরের সাথে মেলে ডিজাইন করা হয়েছিল।
দ্বিতীয় কেসে, প্রতারণামূলক লেনদেনের ফি শূন্য ছিল, যা ডেভেলপারদের কাছে শিকারদের ফি বাড়ানোর জন্য উত্সাহিত করার চেষ্টা হিসাবে সন্দেহ করা হচ্ছে।
প্রথম রিপোর্টটি একটি 2-এর-মধ্যে-3 মাল্টি-সিগনেচার ওয়ালেটের কথা বলে, যা দুটি Trezor ডিভাইস ব্যবহার করে। এর বৈধ লেনদেনে 31টি ইনপুট এবং 1টি আউটপুট রয়েছে।
তদন্তকারীরা পাওয়া গেছে যে মূল পেমেন্টের জন্য সমস্ত 62টি স্বাক্ষর বৈধ ছিল, কিন্তু প্রতিস্থাপিত লেনদেনের জন্য অবৈধ ছিল। প্রতারণামূলক লেনদেনটি প্রায় সমস্ত বিটকয়েন একটি সদৃশ ঠিকানায় স্থানান্তরিত করেছিল, শুধুমাত্র একটি ক্ষুদ্র অংশকেই ওয়ালেটের কাছে ফিরিয়ে দিয়েছিল।
মূল লেনদেনটি এখনও বৈধ, তবে এটি কখনও পাবলিক বিটকয়েন নেটওয়ার্কে প্রবেশ করেনি।
ইলেকট্রাম স্বীকার করেছে যে বাস্তবে কিছু সার্ভার এই আক্রমণ চালাচ্ছে। তবে, ডেভেলপাররা আক্রমণে জড়িত সার্ভারের সংখ্যা, চুরি হওয়া পরিমাণ, বা আরও বেশি শিকার চিহ্নিত করা হয়েছে কিনা তা প্রকাশ করেননি।
ইলেকট্রাম 4.8.3 দুর্নীতিপূর্ণ ট্রানজেকশন ফি বৃদ্ধি প্রতিরোধ করে
এই সংশোধনটি 23 অক্টোবর সংস্করণ 4.8.3-এ অন্তর্ভুক্ত করা হয়েছিল এবং 24 অক্টোবর ডাউনলোডযোগ্য বাইনারি ফাইল প্রদান করা হয়েছিল।
90fe308 জমা দিয়ে, ডেভেলপাররা ব্যবহারকারীর ওয়ালেট দ্বারা নিয়ন্ত্রিত ইনপুটের অনিশ্চিত লেনদেনের জন্য স্বাক্ষর যাচাই চালু করেছেন।
ইলেকট্রাম এখন এই লেনদেনগুলিকে স্থানীয় ইতিহাসে অন্তর্ভুক্ত করার আগে স্বাক্ষর পরীক্ষা করবে, যার ফলে ঘোষণায় বর্ণিত প্রতারণামূলক বহির্মুখী পেমেন্টগুলিকে বৈধ লেনদেন হিসাবে প্রদর্শন থেকে বাধা দেওয়া হবে।
এই আপডেটটি ইলেকট্রামকে একটি সম্পূর্ণ বিটকয়েন নোডে পরিণত করবে না। ডেভেলপারদের মতে, আগত অনিশ্চিত লেনদেনগুলি এখনও নতুন সাইনেচার চেকের সীমার বাইরে রয়েছে, এবং নিশ্চিত পেমেন্টগুলি এখনও বিদ্যমান যাচাইকরণ প্রক্রিয়া অনুসরণ করছে।
4.8.3 এর পূর্ববর্তী সংস্করণ ব্যবহারকারীদের ইলেকট্রামের অফিসিয়াল ওয়েবসাইট থেকে আপডেট ডাউনলোড করার পরামর্শ দেওয়া হয়েছে।
যারা অস্থায়ীভাবে আপগ্রেড করতে পারছেন না, তাদের জন্য ডেভেলপাররা লেনদেন সই করার আগে সম্পূর্ণ প্রাপক ঠিকানা এবং পরিমাণ, সহ ফি প্রতিস্থাপন লেনদেন যাচাই করার পরামর্শ দিচ্ছেন।
ঘোষণা অনুসারে, কেবল বিশ্বস্ত সার্ভারে (নিজের সার্ভার সহ) সংযুক্ত ব্যবহারকারীরা এই নির্দিষ্ট ক্ষতিকারক সার্ভার আক্রমণের প্রভাবে পড়বেন না।
ইলেকট্রামের পূর্বের আক্রমণগুলি দেখিয়েছে যে সার্ভার ঝুঁকি পুনরাবৃত্তি হচ্ছে
এই ঘটনাটি ইলেকট্রামের বাহ্যিক সার্ভারের উপর নির্ভরশীলতার বিরুদ্ধে আগের আক্রমণের চেষ্টাকে অনুসরণ করে।
ডিসেম্বর ২০১৮-এ, crypto.news এর প্রতিবেদনে বলা হয়েছিল যে ক্ষতিকারক সার্ভারগুলি ব্যবহারকারীদের প্রতারণামূলক সফটওয়্যার আপডেট বিবরণী দেখিয়েছিল। সেই সময়ের প্রতিবেদনে ক্ষতির অনুমান করা হয়েছিল প্রায় ১ মিলিয়ন ডলার।
2019 সালের অন্য একটি ক্ষতিকারক সার্ভার আক্রমণ মিথ্যা ওয়ালেট আপডেট এবং ডিনাই অফ সার্ভিস কার্যক্রমের মাধ্যমে ব্যবহারকারীদের দুর্নীতিগ্রস্ত সফটওয়্যারের দিকে নিয়ে যায়।
এই আক্রমণগুলি প্রতারণামূলক ডাউনলোডের উপর নির্ভর করে, যেখানে এই নতুন প্যাচ করা দুর্বলতাটি একটি আসল ওয়ালেটের ভিতরে প্রক্রিয়াধীন লেনদেনের তথ্যকে পরিবর্তন করে।
ইলেকট্রাম সার্ভার সম্পর্কে ২০২০ সালে প্রকাশিত একটি সাক্ষাতকার প্রবন্ধে হালকা ওয়ালেটের সম্মতি-বিষয়ক আলোচনা করা হয়েছে, যার মধ্যে ট্রানজেকশন ইতিহাসের জন্য বাহ্যিক অবকাঠামোর নির্ভরশীলতা অন্তর্ভুক্ত।
ইলেকট্রামের নিজস্ব ডকুমেন্টে বলা হয়েছে যে, এর ক্লায়েন্ট সাধারণত প্রায় 10টি সার্ভারের সাথে সংযুক্ত হয়, কিন্তু ওয়ালেট ইতিহাস পেতে এবং ট্রানজেকশন ব্রডকাস্ট করতে একটি মূল সার্ভার বাছাই করে। ডকুমেন্টটি আরও বলে যে, এই মূল সার্ভারটি অনিশ্চিত ট্রানজেকশনগুলির ক্ষেত্রে বিশ্বস্ত।