Dompet Bitcoin Electrum Membaiki Kelemahan Kritikal yang Membolehkan Arah Pembayaran

Dompet bitcoin Electrum merilis versi 4.8.3 pada 24 Oktober untuk memperbaiki kerentanan serius tinggi yang membolehkan pelayan jahat mengalihkan pembayaran bitcoin kepada penyerang. Kerentanan ini mempengaruhi semua versi sebelum 4.8.3. Pembaikan ditandai dalam repositori kod pada 23 Oktober, dan versi boleh eksekusi tersedia pada hari berikutnya.

Serangan ini memanfaatkan kepercayaan Electrum terhadap pelayan semasa menangani transaksi yang belum disahkan. Sebuah pelayan yang telah dikompromikan boleh menahan pembayaran sebenar pengguna dan menggantikannya dengan transaksi yang bertentangan yang mengandungi alamat tujuan penyerang dan caj sifar. Electrum sebelum ini memaparkan transaksi yang digantikan sebagai sah dalam sejarah dompet tanpa memeriksa tanda tangan. Caj sifar membuat pembayaran kelihatan terhenti.

Pengguna yang meningkatkan caj pembayaran yang kelihatan menandatangani dan menyiar transaksi baru yang sah yang menghantar dana kepada penyerang. Pembayaran asal tidak pernah sampai ke rangkaian, menjadikan transaksi dengan caj yang ditingkatkan sebagai pembayaran pertama yang sebenarnya disiarkan. Pengembang Electrum, SomberNight, yang menerbitkan amaran tersebut, mengatakan penyerang boleh menghasilkan alamat tujuan yang empat karakter terakhirnya sepadan dengan alamat penerima yang dimaksudkan. Pengguna yang hanya memeriksa karakter-karakter tersebut akan melihat persamaan yang kelihatan.

Peringatan tersebut menyatakan bahawa beberapa pelayan sedang secara aktif menjalankan serangan dan merujuk kepada dua laporan pengguna. Seorang pengguna yang dikenali sebagai dannydeezy pertama kali melaporkan aktiviti pelayan mencurigakan pada 11 Oktober. Transaksi yang dimanipulasi itu kekal di pelayan tempatan, dan tiada dana yang hilang. Seorang pengguna kedua, Raju-K12, melaporkan kehilangan dana pada 18 Oktober selepas meningkatkan yuran pada transaksi yang dimanipulasi.

Versi 4.8.3 memeriksa tanda tangan kriptografi pada input yang dimiliki oleh dompet sebelum merekod transaksi yang belum dikonfirmasi dalam sejarah tempatan. Pembaikan ini mencegah pelayan memasukkan transaksi palsu yang melibatkan alamat milik pengguna tanpa tanda tangan yang sah, yang tidak boleh dipalsukan oleh penyerang. Namun, Electrum masih menerima transaksi masuk tanpa memeriksa tanda tangan apabila tiada input mana pun yang dimiliki oleh dompet penerima. SomberNight mengakui kesenjangan yang tinggal dalam amaran tersebut dan mengatakan bahawa menyelesaikan kesenjangan itu memerlukan lebih banyak kerja.

Electrum sebelumnya menghadapi kampanye yang bermula pada 2018 dan menggunakan pelayan jahat untuk memaparkan notis kemas kini penipuan. Kampanye tersebut telah mencuri anggaran $25 juta daripada pengguna Electrum pada 2020. Electrum membenarkan sesiapa sahaja mengendalikan pelayan, menjadikan serangan kategori ini mungkin berlaku.

Pengguna yang hanya menyambung ke pelayan yang mereka kendalikan sendiri tidak terjejas. Pengguna yang tidak dapat mengemas kini segera harus memeriksa alamat tujuan dan jumlah secara manual sebelum menandatangani sebarang transaksi. Electrum 4.8.3 tersedia melalui laman web dan GitHub projek.