Ang karamihan sa $Bitcoin pagkakawala ay nangangailangan ng iyong seed phrase. Hindi ito nangyari. Isang kahinaan sa Electrum, isa sa mga pinakamatandang Bitcoin wallet, ay nagbigay-daan sa isang masamang server na palitan ang isang naghihintay na bayad ng isang pekeng isa at pagkatapos ay maghintay para sa iyo na gawin ang isang ganap na karaniwang bagay: bilisan ito. Sa sandaling pinagtibay mo ang mas mataas na bayad, siniguro mo ang transaksyon ng tagapag-atake kesa sa iyong sarili. Nawala ang pera ng hindi bababa sa isang user bago ma-apply ang pagpapabuti noong Oktubre 24. Narito kung ano ang nangyari at bakit ito mahalaga kahit na hindi ka pernah gumamit ng Electrum.
Paano gumagana ang Bitcoin fee bump trap?
Ang mga light wallet tulad ng Electrum ay hindi nag-download ng buong blockchain. Humihingi sila sa mga panlabas na server para sa iyong kasaysayan ng transaksyon at para sa pag-broadcast ng mga bayad. Ang mga napatunayang transaksyon ay tinarong batay sa chain, ngunit ang mga naka-pending ay kinuha lamang sa tiwala mula sa pangunahing server kung saan konektado ang wallet.
Ang pagkakabawas ay ang pagkakataon. Maaaring interbyenin ng isang attacker na nagpapatakbo ng isa sa mga server na iyon ang isang umuusbong na pagbabayad bago ito makarating sa network, at pagkatapos ay ibinigay ng wallet ang isang kopyang mali. Ang kopyang mali ay ginamit ang iyong mga coin para sa isang address na kinokontrol ng attacker, sa hindi bababa sa isang kaso, may parehong apat na huling karakter tulad ng tunay na tatanggap, at may bayad na sobrang mababa upang hindi ito matatapos. Ipinakita ng wallet ito bilang isang legitimo at naka-antay na pagbabayad.
Pagkatapos ay dumating ang huli. Ang nakapinsalang transaksyon ay natural na nagpupush sa mga user patungo sa Replace-by-Fee, ang standard na tampok ng Bitcoin para sa pagtaas ng mabagal na pagbabayad. Sa Electrum, ang pagtaas ng fee ay nangangahulugan ng pag-re-sign ng transaksyon na ipinakita sa kasaysayan. Dahil ang transaksyon na iyon ay ng attacker, ang signature ay valid, lumipat ang mga coin, at tila normal lamang ang pagtaas ng fee.
Sino ang naapektuhan ng vulnerability ng Electrum?
Ipinahayag ng Electrum ang isyu noong Oktubre 24 at siniguro na ang ilang mga server ay aktibong nagpapakita nito. Ang unang ulat ay galing noong Oktubre 11 mula sa isang gumagamit na may dalawang-sa-tatlong multisig setup na may dalawang hardware wallet, na nakakita ng isang dayuhang outgoing transaction sa kasaysayan ngunit hindi nawala ang kanyang pera. Ang ikalawang gumagamit ay hindi ganun kasiyahan. Hindi ipinahayag ng mga developer ang dami ng tinanggap o ang mga pangalan ng mga server na kasali.
Ang mga gumagamit na nagkonekta lamang sa kanilang sariling server o sa isang server na kanilang tiwala ay hindi nagkaron ng eksposur. Lahat ng iba pang nagpapatakbo ng bersyon na mas mababa sa 4.8.3 ay patuloy na vulnerable habang ang wallet ay maaaring makarating sa isang masasamang server.
Ano ang pagbabago sa fix sa Electrum 4.8.3?
Idinagdag ng Version 4.8.3 ang mga pag-check ng signature para sa mga hindi kumpirmadong transaksyon na naglalabas ng mga coin mula sa iyong sariling wallet. Hindi na makakapagpapasok ang isang server ng isang hindi wastong transaksyon sa iyong kasaysayan at gawing mukhang totoo ng wallet. I-download ang update lamang mula sa electrum.org, huwag mula sa isang pop-up sa loob ng wallet o link sa isang mensahe. Noong 2019, binantaan ng mga Electrum user ang ganitong uri ng pekeng update prompt, nang ang mga masasamang server ay nagbawas ng higit sa $4.6 milyon.
Paano protektahan ang iyong Bitcoin wallet mula sa ganitong uri ng pag-atake
Lumipas ang aralin sa isang wallet lamang. Anumang software na naniniwala sa isang ikatlong partido para sa hindi kumpirmadong data ay may parehong mahina na punto, kaya ilang gawi ay worth na panatilihin:
- Gamitin ang bawat pagtaas ng bayarin bilang bagong transaksyon. Suriin ang buong address ng pagtatanggap at ang amount sa screen ng pag-sign, hindi lang ang ilang huling karakter.
- Kumpirmahin sa device. Kung gumagamit ka ng hardware wallet, i-verify ang destinasyon sa display nito. Tanggap ng multisig user ang serangan na ito nang tama dahil ipinakita ng hardware ang iba’t ibang bagay.
- Pumili ng iyong sariling node o server na iyong kinokontrol. Ang pag-atake ay gumagana lamang kapag isang stranger ang nagpapadala sa iyong wallet ng kasaysayan nito.
- Panatilihin ang wallet software na updated at i-verify ang mga download gamit ang signature ng developer kapag kayang gawin.
Ang self-custody ay naglalagay sa iyo sa pamamahala ng security, at kasama rito ang mga simpleng hakbang. Ang isang tatlong-sikundong pag-check ng address ay patuloy na ang pinakamuraang asuranso sa crypto. Maaari mong i-track ang kasalukuyang Bitcoin price at ang mas malawak na merkado sa aming prices page.