Nakapag-fix ang Electrum ng isang security flaw na nagbigay-daan sa mga attacker na i-redirect ang mga Bitcoin payment kapag dumami ang mga user sa transaction fees, nang hindi nagtatanghal ng mga private key. Iminahal ng mga developer ang vulnerability noong Oct. 24 at pinatotohanan na ginamit ng masasamang server ang flaw. Pinatotohanan ng mga developer na kahit isang user lamang ang hindi alam na tinanggap ang isang fraudulent na transaction at nawalan ng Bitcoin. Ang mataas na antas ng vulnerability ay nakakaapekto sa mga bersyon bago 4.8.3.
Naglabas ng pahayag pagkatapos ng mga reklamo na natanggap noong Okt. 11 at Okt. 18. Ang unang nagreklamo ay nakakita ng hindi kilalang transaksyon sa wallet pagkatapos mag-broadcast ng bayad. Ang ikalawang nagreklamo ay nagsalaysay ng pagkawala ng pera habang sinusubukang pabilisin ang naghihintay na pag-transfer. Ang mga mangmang sa parehong insidente ay gumawa ng Bitcoin addresses kung saan ang apat na huling karakter ay tumutugma sa mga address ng mga inaasahang tatanggap. Maaaring makakamali ang mga user na sumusuri lamang sa bahagi ng isang address dahil sa mga pagkakatulad na ito.
Ang vulnerability ay nagpapahintulot sa pagpapabaya ng Electrum sa mga panlabas na server para sa impormasyon tungkol sa mga hindi pa kumpirmadong transaksyon. Maaaring pigilan ng isang masasamang server ang pagkakalabas ng bayad ng isang user mula sa network at magbigay ng isang magkakaugnay na transaksyon na nagdidirekta sa mga pondo patungo sa isang address na kontrolado ng attacker. Ang palitan na transaksyon ay may hindi wastong mga signature sa unang pagkakataon, kaya’t hindi ito maaaring prosesuhin bilang wastong bayad. Gayunpaman, ang mga vulnerable na Electrum client ay ipinakita ang palitan na transaksyon sa kasaysayan ng mga hindi pa kumpirmadong transaksyon nang walang pagsusuri muna sa mga signature. Bilang resulta, nawawala ang totoong bayad mula sa paningin na iyon, habang ang masasamang bayad ay tila naghhintay ng kumpirmasyon.
Maaaring pangunahin ng mga attacker ang tampok na Replace-by-Fee ng Bitcoin, na nagpapahintulot sa mga gumagamit na palakasin ang mga bayarin upang hikayatin ang mga miner na kumpirmahin ang mga natitirang transaksyon. Gumagawa ang Electrum ng mga bagong signature na nagpapahintulot sa mga napalitan na detalye ng pagbabayad kung tataasan ng gumagamit ang bayarin ng fraudulent na transaksyon. Ang bagong pahintulot ay nagpapatibay sa pagbabayad na direksiyon ng attacker at nagpapahintulot sa pagkakawala nang hindi inilalabas ang private keys ng gumagamit. Ayon sa mga ulat, nagtakda ang mga attacker ng zero fee sa fraudulent na transaksyon sa insidente noong Okt. 18, na maaaring magpalakas sa biktima na tumaas ng bayarin. Ipapakita ng pag-atake ang panganib ng pagtanggap ng detalye ng transaksyon mula sa isang hindi tiyak na server nang walang sapat na pagsusuri.
Ang pinakabagong release ng Electrum ay nag-check ng mga signature sa mga input na ari-arian ng wallet bago idagdag ang mga hindi pa kumpirmadong transaksyon sa lokal na kasaysayan. Ang mga pagsusuri na ito ay nagpigil sa inihayag na paraan ng pagpalit mula sa magpatuloy sa pag-adjust ng bayad. Ipinaglabel ng mga developer ang bersyon 4.8.3 noong Okt. 23. Ipinamahagi ng mga developer ang update noong Okt. 24 kasama ang pampublikong pagpapahayag ng seguridad.
Nasabi ng mga developer na dapat makakuha ang mga user ng patch sa opisyal na website ng Electrum. Pinagbawalan din ng mga developer ang mga user na suriin ang buong address ng recipient at amount ng bayaran bawat beses na sinasagutan ang transaction. Sabi ng advisory, ang mga client na gumagamit lamang ng mga tiwalaang server, kabilang ang mga server na pinapatakbo ng sarili, ay hindi vulnerable sa pag-atake na ito. Ang patch ay hindi sinusuri ang mga signature para sa bawat darating na transaction.
Hindi inilabas ng Electrum ang dami ng nawawalang pera. Kumpirmado ng mga tagapangalaga ng Electrum na may ilang server na aktibong nagpapagawa ng pag-atake. Ang bilang ng mga na-compromise na wallet at ang kabuuang halaga ng perang nawala ay nananatiling hindi nalulutas.
Nilutas ng Electrum ang isang security flaw na nagpapahintulot sa pagkakawala ng bitcoin nang walang private keys
CryptoSlateI-share
Summary
Nabroke ang balita tungkol sa bitcoin nang harapin ng Electrum ang isang security breach na nagbigay-daan sa mga attacker na i-redirect ang mga bayad sa bitcoin habang pinapalitan ng mga user ang mga bayad, nang hindi kailangan ng private keys. Ang kamalian, sa mga bersyon bago ang 4.8.3, ay nagbigay-daan sa mga masasamang server na ipagdaya ang mga user upang pahintulutan ang mga pekeng transaksyon. Nawala ang isang user ng bitcoin pagkatapos pahintulutan ang isang pekeng bayad. Ang problema ay nagmula sa pagkakasalig ng Electrum sa mga panlabas na server para sa hindi pa kumpirmadong data, na nagbigay-daan sa mga attacker na palitan ang totoong transaksyon sa pekeng isa. Isang solusyon ay inilabas noong Okt. 24, na nagdagdag ng mga pag-check ng signature upang pigilan ang ganitong mga atake. Hinikayat ng mga developer ang mga user na i-double-check ang mga address at gamitin ang mga tiwalaang server.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.