Electrum a corrigé une faille de sécurité qui permettait aux attaquants de rediriger les paiements bitcoin lorsque les utilisateurs augmentaient les frais de transaction, sans voler les clés privées. Les développeurs ont annoncé cette vulnérabilité le 24 octobre et confirmé que des serveurs malveillants l'avaient exploitée. Ils ont confirmé qu'au moins un utilisateur avait approuvé sans le savoir une transaction frauduleuse et avait perdu des bitcoin. Cette vulnérabilité de gravité élevée affecte les versions antérieures à 4.8.3.
La divulgation est intervenue après la réception de plaintes le 11 octobre et le 18 octobre. Le premier plaignant a observé une transaction inconnue dans son wallet après avoir diffusé un paiement. Le second plaignant a signalé la perte de fonds en tentant d'accélérer un transfert en attente. Dans les deux incidents, les attaquants ont créé des adresses Bitcoin dont les quatre derniers caractères correspondaient à ceux des adresses des destinataires prévus. Ces similitudes pourraient tromper les utilisateurs qui n'ont vérifié qu'une partie de l'adresse.
La vulnérabilité exploite la dépendance d'Electrum à des serveurs externes pour obtenir des informations sur les transactions non confirmées. Un serveur malveillant peut empêcher le paiement diffusé par un utilisateur d'atteindre le réseau et fournir une transaction conflictuelle redirigeant les fonds vers une adresse contrôlée par l'attaquant. La transaction substituée présente initialement des signatures invalides et ne peut donc pas être traitée comme un paiement valide. Toutefois, les clients Electrum vulnérables affichaient la transaction substituée dans l'historique des transactions non confirmées sans vérifier préalablement les signatures. Le paiement légitime disparaît ainsi de cette vue, tandis que le paiement frauduleux semble attendre confirmation.
Les attaquants peuvent ensuite abuser de la fonctionnalité Replace-by-Fee de Bitcoin, qui permet aux utilisateurs d'augmenter les frais pour encourager les mineurs à confirmer les transactions retardées. Electrum génère de nouvelles signatures approuvant les détails du paiement substitué si l'utilisateur augmente manuellement les frais de la transaction frauduleuse. Cette nouvelle approbation valide le paiement dirigé par l'attaquant et permet le vol sans exposer les clés privées de l'utilisateur. Les attaquants auraient attribué des frais nuls à la transaction frauduleuse lors de l'incident du 18 octobre, ce qui pourrait avoir incité la victime à augmenter les frais. Cette attaque démontre le risque d'accepter les détails d'une transaction provenant d'un serveur non fiable sans vérifications suffisantes.
La dernière version d'Electrum vérifie les signatures sur les entrées possédées par le wallet avant d'ajouter les transactions non confirmées à l'historique local. Ces vérifications empêchent la méthode de substitution signalée de progresser vers un ajustement de frais. Les développeurs ont taggé la version 4.8.3 le 23 octobre. Ils ont distribué la mise à jour le 24 octobre, accompagnée de la divulgation publique de sécurité.
Les développeurs ont conseillé aux utilisateurs d'obtenir le correctif via le site officiel d'Electrum. Ils ont également exhorté les utilisateurs à vérifier les adresses complètes des destinataires et les montants des paiements à chaque fois qu'ils signent des transactions. L'avis indique que les clients n'utilisant que des serveurs de confiance, y compris des serveurs privés, ne sont pas vulnérables à cette attaque. Le correctif ne vérifie pas les signatures pour chaque transaction entrante.
Electrum n'a pas révélé le montant volé. Les maintaineurs d'Electrum ont confirmé que certains serveurs menaient activement l'attaque. Le nombre de wallets compromis et le montant total volé restent non résolus.
Electrum corrige une faille de sécurité permettant le vol de bitcoin sans clés privées
CryptoSlatePartager
Résumé
Des nouvelles concernant le bitcoin ont émergé après qu'Electrum ait révélé une faille de sécurité permettant à des attaquants de rediriger les paiements bitcoin lorsque les utilisateurs ajustaient les frais, sans nécessiter les clés privées. Cette vulnérabilité, présente dans les versions antérieures à 4.8.3, permettait à des serveurs malveillants de tromper les utilisateurs en les incitant à approuver des transactions falsifiées. Un utilisateur a perdu des bitcoin après avoir approuvé un paiement frauduleux. Le problème provenait du fait qu'Electrum s'appuyait sur des serveurs externes pour les données non confirmées, permettant aux attaquants de remplacer les transactions réelles par des fausses. Un correctif a été publié le 24 octobre, ajoutant des vérifications de signature pour empêcher ce type d'attaques. Les développeurs encouragent les utilisateurs à vérifier soigneusement les adresses et à utiliser des serveurs de confiance.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.