इलेक्ट्रम बिटकॉइन वॉलेट में फी बम्प दुरुपयोग के माध्यम से चोरी की संभावना

अधिकांश $Bitcoin चोरियों के लिए आपकी सीड फ्रेज की आवश्यकता होती है। इसमें ऐसा नहीं हुआ। बिटकॉइन के सबसे पुराने वॉलेट में से एक, Electrum में एक खामी के कारण, एक दुर्भावनापूर्ण सर्वर ने एक लंबित भुगतान को एक झूठे भुगतान से बदल दिया और फिर आपको कुछ पूरी तरह सामान्य चीज़ करने का इंतज़ार किया: इसे तेज़ करें। जिस क्षण आपने उच्च शुल्क को मंजूरी दी, आपने अपने स्वयं के लेन-देन के बजाय हमलावर के लेन-देन पर हस्ताक्षर कर दिए। 24 अक्टूबर को सुधार लागू होने से पहले कम से कम एक उपयोगकर्ता ने धन खो दिया। यहाँ बताया गया है कि क्या हुआ और क्यों यह मायने रखता है, भले ही आपने कभी Electrum का उपयोग न किया हो।

इलेक्ट्रम जैसे हल्के वॉलेट पूरे ब्लॉकचेन को डाउनलोड नहीं करते। वे अपने लेन-देन के इतिहास और भुगतान भेजने के लिए बाहरी सर्वर्स से अनुरोध करते हैं। पुष्टि किए गए लेन-देन को श्रृंखला के साथ जांचा जाता है, लेकिन अनुमानित लेन-देन को वॉलेट द्वारा जुड़े मुख्य सर्वर से सिर्फ भरोसा किया जाता था।

वह अंतर ही खुलावट था। उनमें से एक सर्वर चला रहा हमलावर नेटवर्क तक पहुँचने से पहले एक बाहरी भुगतान को अवरुद्ध कर सकता था, और फिर वॉलेट को एक नकली संस्करण प्रदान कर सकता था। नकली भुगतान आपके सिक्कों को हमलावर के नियंत्रण में एक पते पर खर्च कर देता था, कम से कम एक मामले में वास्तविक प्राप्तकर्ता के अंतिम चार अक्षर के समान, और इसमें एक इतना कम शुल्क था कि यह कभी पुष्टि नहीं होता। वॉलेट इसे एक मान्य लंबित भुगतान के रूप में प्रदर्शित करता था।

फिर बाइट आया। एक अटकी हुई लेनदेन स्वाभाविक रूप से उपयोगकर्ताओं को Replace-by-Fee की ओर धकेलती है, जो धीमे भुगतान को बढ़ाने के लिए बिटकॉइन की मानक सुविधा है। Electrum में, फी बढ़ाने का मतलब इतिहास में दिखाई देने वाली लेनदेन को पुनः साइन करना था। चूंकि वह लेनदेन हमलावर की थी, साइनेचर वैध था, कॉइन्स चले गए, और चोरी एक सामान्य फी वृद्धि की तरह दिखी।

इलेक्ट्रम ने 24 अक्टूबर को इस समस्या का खुलासा किया और पुष्टि की कि कुछ सर्वर इसका लाभ उठा रहे थे। पहली रिपोर्ट 11 अक्टूबर को एक उपयोगकर्ता द्वारा आई, जो दो हार्डवेयर वॉलेट के साथ दो-ऑफ-थ्री मल्टिसिग सेटअप चला रहा था, जिसने इतिहास में एक विदेशी बाहरी लेनदेन देखा, लेकिन उसे धन की हानि नहीं हुई। दूसरे उपयोगकर्ता को इतनी सौभाग्यशाली बात नहीं मिली। डेवलपर्स ने चोरी हुई रकम का खुलासा नहीं किया है और संलग्न सर्वरों का नाम भी नहीं बताया है।

जो उपयोगकर्ता केवल अपने ही सर्वर या एक ऐसे सर्वर से जुड़ते हैं जिस पर उन्हें भरोसा है, वे कभी संक्रमित नहीं हुए। 4.8.3 से कम संस्करण चला रहे हर कोई तब तक सुरक्षित नहीं है जब तक कि वॉलेट किसी दुर्भावनापूर्ण सर्वर पर न पहुँच जाए।

संस्करण 4.8.3 अपने अपने वॉलेट से सिक्कों को खर्च करने वाली अपुष्ट लेन-देन के लिए सिग्नेचर जांच जोड़ता है। अब सर्वर आपके इतिहास में एक अमान्य लेन-देन को घुसा नहीं सकता और वॉलेट को इसे वास्तविक के रूप में प्रस्तुत करने की अनुमति नहीं है। अपडेट केवल electrum.org से ही डाउनलोड करें, कभी भी वॉलेट में पॉप-अप या संदेश में दिए गए लिंक से नहीं। 2019 में, ठगी सर्वरों द्वारा $4.6 मिलियन से अधिक की राशि खाली कर दी गई थी, जब Electrum उपयोगकर्ताओं को ठीक इसी प्रकार के झूठे अपडेट प्रॉम्प्ट का सामना करना पड़ा।

यह पाठ एक वॉलेट से आगे जाता है। कोई भी सॉफ्टवेयर जो अनपुष्ट डेटा के लिए तीसरे पक्ष पर भरोसा करता है, उसमें यही कमजोर बिंदु होता है, इसलिए कुछ आदतें बनाए रखने योग्य हैं:

• प्रत्येक फी बम्प को एक नया लेनदेन मानें। हस्ताक्षर स्क्रीन पर पूरा प्राप्त करने वाला पता और रकम जांचें, केवल अंतिम कुछ अक्षर नहीं।
• उपकरण पर पुष्टि करें। यदि आप हार्डवेयर वॉलेट का उपयोग करते हैं, तो इसके डिस्प्ले पर गंतव्य की पुष्टि करें। मल्टीसिग उपयोगकर्ता ने इस हमले को तब पकड़ा था क्योंकि हार्डवेयर पर कुछ अलग दिख रहा था।
• अपना नोड या आपके नियंत्रण में सर्वर पसंद करें। हमला केवल तभी काम करता है जब कोई अज्ञात व्यक्ति आपके वॉलेट को उसका इतिहास प्रदान करे।
• वॉलेट सॉफ्टवेयर को अपडेटेड रखें और जब संभव हो, डेवलपर के साइनेचर के साथ डाउनलोड की पुष्टि करें।

स्व-नियंत्रण आपको सुरक्षा पर नियंत्रण देता है, और इसमें उबाऊ कदम भी शामिल हैं। तीस सेकंड की पते की जांच अभी भी क्रिप्टो में सबसे सस्ती बीमा है। आप हमारे मूल्य पृष्ठ पर वर्तमान बिटकॉइन मूल्य और व्यापक बाजार का अनुसरण कर सकते हैं।