इलेक्ट्रम ने बिटकॉइन चोरी की अनुमति देने वाली सुरक्षा खामी को ठीक कर दिया है, बिना प्राइवेट की के

इलेक्ट्रम ने एक सुरक्षा दोष को ठीक कर दिया है, जिससे हमलावर उपयोगकर्ताओं द्वारा लेनदेन शुल्क बढ़ाए जाने पर बिटकॉइन भुगतान को पुनः निर्देशित कर सकते थे, बिना प्राइवेट कुंजियों को चुराए। विकासकर्ताओं ने 24 अक्टूबर को इस दुर्बलता की घोषणा की और पुष्टि की कि दुर्भावनापूर्ण सर्वरों ने इस दोष का दुरुपयोग किया है। विकासकर्ताओं ने पुष्टि की कि कम से कम एक उपयोगकर्ता ने अज्ञातता में एक धोखेबाज़ लेनदेन को स्वीकार कर लिया और बिटकॉइन खो दिया। उच्च-गंभीरता वाली दुर्बलता 4.8.3 से पहले के संस्करणों को प्रभावित करती है।

यह उपलब्धता 11 अक्टूबर और 18 अक्टूबर को प्राप्त शिकायतों के बाद आई। पहली शिकायतकर्ता ने भुगतान प्रसारित करने के बाद अपने वॉलेट में एक अपरिचित लेनदेन देखा। दूसरी शिकायतकर्ता ने एक लंबित ट्रांसफ़र को त्वरित करने के प्रयास में धन का नुकसान होने की रिपोर्ट की। दोनों घटनाओं में हमलावरों ने बिटकॉइन पते बनाए, जिनके अंतिम चार अक्षर इच्छित प्राप्तकर्ता के पतों के समान थे। ये समानताएँ उन उपयोगकर्ताओं को धोखा दे सकती हैं, जो केवल पते का कुछ हिस्सा ही जाँचते हैं।

इस दुर्भावनापूर्ण दुरुपयोग का उपयोग Electrum के अपुष्ट लेनदेन के बारे में जानकारी के लिए बाहरी सर्वरों पर निर्भरता के आधार पर किया जाता है। एक दुर्भावनापूर्ण सर्वर एक उपयोगकर्ता के प्रसारित भुगतान को नेटवर्क तक पहुँचने से रोक सकता है और एक विरोधी लेनदेन प्रदान कर सकता है जो धन को एक हमलावर नियंत्रित पते पर निर्देशित करता है। प्रतिस्थापित लेनदेन प्रारंभ में अमान्य हस्ताक्षरों के कारण मान्य भुगतान के रूप में प्रसंस्कृत नहीं हो सकता। हालाँकि, संवेदनशील Electrum क्लाइंट्स ने हस्ताक्षरों की जाँच किए बिना ही अपुष्ट लेनदेन इतिहास में प्रतिस्थापित लेनदेन को प्रदर्शित किया। परिणामस्वरूप, मूल भुगतान उस दृश्य से गायब हो जाता है, जबकि धोखाधड़ी भुगतान पुष्टि का प्रतीक्षा कर रहा प्रतीत होता है।

आक्रमणकारी फिर बिटकॉइन की रिप्लेस-बाय-फी सुविधा का दुरुपयोग कर सकते हैं, जो उपयोगकर्ताओं को व्यय बढ़ाकर माइनर्स को देरी से पुष्टि हो रहे लेन-देन को पुष्टि करने के लिए प्रेरित करती है। यदि कोई उपयोगकर्ता धोखेबाज़ लेन-देन का शुल्क मैन्युअल रूप से बढ़ाता है, तो इलेक्ट्रम नए साइनेचर बनाता है जो प्रतिस्थापित भुगतान विवरण को मंजूरी देते हैं। नया मंजूरी आक्रमणकारी-निर्देशित भुगतान को मान्यता देती है और उपयोगकर्ता की निजी कुंजी को प्रकट किए बिना चोरी को सक्षम बनाती है। अक्टूबर 18 की घटना में, आक्रमणकारियों ने धोखेबाज़ लेन-देन के लिए शून्य शुल्क निर्धारित किया, जिससे शिकार संभवतः शुल्क बढ़ाने के लिए प्रेरित हुआ। यह हमला बिना पर्याप्त जांच के अविश्वसनीय सर्वर से लेन-देन विवरण स्वीकार करने के जोखिम को दर्शाता है।

नवीनतम Electrum रिलीज़ अपने वॉलेट के इनपुट्स पर हस्ताक्षरों की जांच करती है, जिससे अनपुष्ट लेनदेन को स्थानीय इतिहास में जोड़ने से पहले रोका जा सके। ये जांचें रिपोर्ट किए गए प्रतिस्थापन विधि को फी समायोजन तक पहुंचने से रोकती हैं। विकासकर्ताओं ने 23 अक्टूबर को संस्करण 4.8.3 को टैग किया। विकासकर्ताओं ने 24 अक्टूबर को सार्वजनिक सुरक्षा अवगति के साथ अपडेट जारी किया।

विकासकों ने उपयोगकर्ताओं को Electrum की आधिकारिक वेबसाइट के माध्यम से पैच प्राप्त करने की सलाह दी। विकासकों ने उपयोगकर्ताओं को प्रत्येक बार लेनदेन पर हस्ताक्षर करते समय पूरे प्राप्तकर्ता पते और भुगतान की रकम की जांच करने की भी अपील की। इस सलाह में कहा गया है कि केवल विश्वसनीय सर्वर, जिनमें निजी रूप से संचालित सर्वर शामिल हैं, उपयोग करने वाले ग्राहक इस हमले के प्रति असुरक्षित नहीं हैं। पैच प्रत्येक आने वाले लेनदेन के लिए हस्ताक्षर की जांच नहीं करता है।

इलेक्ट्रम ने चोरी हुई रकम का खुलासा नहीं किया। इलेक्ट्रम के रखवालों ने पुष्टि की कि कुछ सर्वर सक्रिय रूप से हमला कर रहे थे। प्रभावित वॉलेट की संख्या और कुल चोरी हुई राशि अभी अनसुलझी हैं।