Electrum telah memperbaiki kelemahan keamanan yang memungkinkan penyerang mengalihkan pembayaran bitcoin ketika pengguna meningkatkan biaya transaksi, tanpa mencuri kunci pribadi. Pengembang mengumumkan kerentanan ini pada 24 Oktober dan memastikan bahwa server jahat telah mengeksploitasi kelemahan tersebut. Pengembang memastikan bahwa setidaknya satu pengguna secara tidak sengaja menyetujui transaksi penipuan dan kehilangan bitcoin. Kerentanan berisiko tinggi ini memengaruhi versi sebelum 4.8.3.
Pengungkapan tersebut muncul setelah menerima keluhan pada 11 Oktober dan 18 Oktober. Pelapor pertama melihat transaksi yang tidak dikenal di dompet setelah mengirimkan pembayaran. Pelapor kedua melaporkan kehilangan dana saat mencoba mempercepat transfer yang sedang tertunda. Penyerang dalam kedua insiden tersebut membuat alamat Bitcoin yang empat karakter terakhirnya cocok dengan alamat penerima yang dimaksud. Kemiripan tersebut dapat menipu pengguna yang hanya memeriksa sebagian alamat.
Kerentanan ini memanfaatkan ketergantungan Electrum pada server eksternal untuk informasi tentang transaksi yang belum dikonfirmasi. Server jahat dapat mencegah pembayaran yang dikirimkan pengguna mencapai jaringan dan menyediakan transaksi konflik yang mengalihkan dana ke alamat yang dikendalikan penyerang. Transaksi yang disubstitusi awalnya memiliki tanda tangan tidak valid dan karena itu tidak dapat diproses sebagai pembayaran yang sah. Namun, klien Electrum yang rentan menampilkan transaksi yang disubstitusi dalam riwayat transaksi yang belum dikonfirmasi tanpa terlebih dahulu memeriksa tanda tangan tersebut. Pembayaran asli akhirnya menghilang dari tampilan itu, sementara pembayaran penipuan tampak sedang menunggu konfirmasi.
Penyerang kemudian dapat menyalahgunakan fitur Replace-by-Fee Bitcoin, yang memungkinkan pengguna meningkatkan biaya untuk mendorong penambang mengonfirmasi transaksi yang tertunda. Electrum membuat tanda tangan baru yang menyetujui rincian pembayaran yang diganti jika pengguna secara manual meningkatkan biaya transaksi penipuan. Persetujuan baru ini memvalidasi pembayaran yang diarahkan oleh penyerang dan memungkinkan pencurian tanpa mengekspos kunci pribadi pengguna. Dilaporkan bahwa penyerang menetapkan biaya nol pada transaksi penipuan dalam insiden 18 Oktober, yang berpotensi mendorong korban untuk meningkatkan biaya. Serangan ini menunjukkan risiko menerima rincian transaksi dari server tidak terpercaya tanpa pemeriksaan yang cukup.
Rilis Electrum terbaru memeriksa tanda tangan pada input yang dimiliki dompet sebelum menambahkan transaksi yang belum dikonfirmasi ke riwayat lokal. Pemeriksaan tersebut mencegah metode substitusi yang dilaporkan untuk melanjutkan ke penyesuaian biaya. Pengembang menandai versi 4.8.3 pada 23 Okt. Pengembang mendistribusikan pembaruan tersebut pada 24 Okt bersama dengan pengungkapan keamanan publik.
Para pengembang menyarankan pengguna untuk mendapatkan patch melalui situs web resmi Electrum. Para pengembang juga mendesak pengguna untuk memeriksa alamat penerima dan jumlah pembayaran secara lengkap setiap kali pengguna menandatangani transaksi. Peringatan tersebut menyatakan bahwa klien yang hanya menggunakan server tepercaya, termasuk server yang dioperasikan secara pribadi, tidak rentan terhadap serangan ini. Patch tersebut tidak memeriksa tanda tangan untuk setiap transaksi yang masuk.
Electrum tidak mengungkapkan jumlah yang dicuri. Pengelola Electrum mengonfirmasi bahwa beberapa server secara aktif melakukan serangan. Jumlah dompet yang dikompromikan dan total dana yang dicuri masih belum terpecahkan.
Electrum Memperbaiki Kelemahan Keamanan yang Memungkinkan Pencurian Bitcoin Tanpa Kunci Pribadi
CryptoSlateBagikan
Ringkasan
Berita bitcoin muncul setelah Electrum mengatasi pelanggaran keamanan yang memungkinkan penyerang mengalihkan pembayaran bitcoin saat pengguna menyesuaikan biaya, tanpa memerlukan kunci pribadi. Kelemahan ini, pada versi sebelum 4.8.3, memungkinkan server jahat menipu pengguna agar menyetujui transaksi palsu. Satu pengguna kehilangan bitcoin setelah menyetujui pembayaran penipuan. Masalah ini timbul karena Electrum bergantung pada server eksternal untuk data yang belum dikonfirmasi, memungkinkan penyerang mengganti transaksi asli dengan yang palsu. Perbaikan dirilis pada 24 Oktober, menambahkan pemeriksaan tanda tangan untuk mencegah serangan semacam ini. Pengembang mendesak pengguna untuk memeriksa ulang alamat dan menggunakan server tepercaya.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.