Sebagian besar $Bitcoin pencurian memerlukan seed phrase Anda. Yang ini tidak. Sebuah kelemahan di Electrum, salah satu dompet bitcoin tertua, memungkinkan server jahat mengganti pembayaran yang sedang menunggu dengan yang palsu, lalu menunggu Anda melakukan sesuatu yang benar-benar rutin: mempercepatnya. Saat Anda menyetujui biaya yang lebih tinggi, Anda justru menandatangani transaksi penyerang alih-alih transaksi Anda sendiri. Setidaknya satu pengguna kehilangan dana sebelum perbaikan diterapkan pada 24 Oktober. Berikut ini yang terjadi dan mengapa hal ini penting meskipun Anda belum pernah menggunakan Electrum.
Bagaimana cara kerja jebakan peningkatan biaya Bitcoin?
Dompet ringan seperti Electrum tidak mengunduh seluruh blockchain. Mereka meminta server eksternal untuk riwayat transaksi Anda dan untuk menyebarkan pembayaran. Transaksi yang dikonfirmasi diperiksa terhadap rantai, tetapi transaksi yang belum dikonfirmasi hanya diambil berdasarkan kepercayaan dari server utama yang sedang terhubung dengan dompet tersebut.
Kesenjangan itu adalah celah pembuka. Seorang penyerang yang menjalankan salah satu server tersebut dapat menyadap pembayaran keluar sebelum mencapai jaringan, lalu memberikan versi palsu ke dompet. Versi palsu tersebut menghabiskan koin Anda ke alamat yang dikendalikan penyerang, setidaknya dalam satu kasus dengan empat karakter terakhir yang sama seperti penerima asli, dan membawa biaya yang sangat rendah sehingga tidak akan pernah dikonfirmasi. Dompet menampilkan itu sebagai pembayaran yang sedang menunggu yang sah.
Kemudian datanglah umpannya. Transaksi yang macet secara alami mendorong pengguna menuju Replace-by-Fee, fitur standar Bitcoin untuk meningkatkan pembayaran yang lambat. Di Electrum, meningkatkan biaya berarti menandatangani ulang transaksi yang ditampilkan di riwayat. Karena transaksi itu milik penyerang, tanda tangan itu valid, koin berpindah, dan pencurian itu tampak seperti peningkatan biaya normal.
Siapa yang terdampak oleh kerentanan Electrum?
Electrum mengungkapkan masalah ini pada 24 Oktober dan mengonfirmasi bahwa beberapa server secara aktif mengeksploitasinya. Laporan pertama datang pada 11 Oktober dari seorang pengguna yang menjalankan pengaturan multisig dua-dari-tiga dengan dua perangkat keras dompet, yang melihat transaksi keluar asing dalam riwayat tetapi tidak kehilangan dana. Pengguna kedua tidak seberuntung itu. Pengembang belum mengungkapkan jumlah yang dicuri atau menyebutkan server-server yang terlibat.
Pengguna yang hanya terhubung ke server mereka sendiri atau ke server yang mereka percayai tidak pernah terpapar. Semua pengguna lain yang menjalankan versi di bawah 4.8.3 tetap rentan selama dompet dapat terhubung ke server jahat.
Apa yang diubah oleh perbaikan di Electrum 4.8.3?
Versi 4.8.3 menambahkan pemeriksaan tanda tangan untuk transaksi yang belum dikonfirmasi yang menghabiskan koin dari dompet Anda sendiri. Server tidak lagi dapat menyisipkan transaksi tidak valid ke dalam riwayat Anda dan membuat dompet menampilkannya sebagai transaksi nyata. Unduh pembaruan hanya dari electrum.org, jangan pernah dari pop-up di dalam dompet atau tautan dalam pesan. Pengguna Electrum pernah menjadi korban jenis prompt pembaruan palsu seperti itu pada tahun 2019, ketika server jahat menguras lebih dari $4,6 juta.
Cara melindungi dompet bitcoin Anda dari serangan semacam ini
Pelajaran ini melampaui satu dompet. Perangkat lunak apa pun yang mempercayai pihak ketiga untuk data yang belum dikonfirmasi memiliki titik lemah yang sama, jadi beberapa kebiasaan layak dipertahankan:
- Perlakukan setiap peningkatan biaya sebagai transaksi baru. Periksa alamat penerima penuh dan jumlah di layar penandatanganan, bukan hanya beberapa karakter terakhir.
- Konfirmasi di perangkat. Jika Anda menggunakan hardware wallet, verifikasi tujuan di layarnya. Pengguna multisig menangkap serangan ini tepat karena hardware menunjukkan sesuatu yang berbeda.
- Gunakan node Anda sendiri atau server yang Anda kendalikan. Serangan ini hanya berhasil ketika orang asing memberikan riwayat dompet Anda.
- Pertahankan perangkat lunak dompet tetap mutakhir dan verifikasi unduhan dengan tanda tangan pengembang saat Anda dapat melakukannya.
Self-custody menempatkan Anda yang bertanggung jawab atas keamanan, termasuk langkah-langkah yang membosankan. Pengecekan alamat selama tiga puluh detik masih merupakan asuransi termurah di crypto. Anda dapat melacak harga Bitcoin saat ini dan pasar yang lebih luas di halaman harga kami.