ChainCatcher melaporkan bahawa dompet ringan Bitcoin, Electrum, mengumumkan pada 24 Oktober serangan jahat terhadap penambahan bayaran transaksi, yang telah diperbaiki dalam versi 4.8.3, sejajar dengan pengumuman keselamatan GitHub GHSA-6jp4-8v48-cc5v. Semasa pengguna menambah bayaran secara biasa kepada transaksi, mereka mungkin secara tidak sengaja menandatangani dana kepada penyerang. Pengembang menyatakan bahawa masalah ini muncul selepas pengguna melaporkan kehilangan dana selepas menandatangani penambahan bayaran. Dua laporan menunjukkan hasil yang berbeza: seorang pengguna setelah menyebarkan pembayaran mendapati transaksi dalam sejarah dompetnya digantikan, dan menyatakan bahawa pembayaran asal tidak masuk ke rangkaian peer-to-peer Bitcoin dan dikecualikan oleh pelayan; seorang lagi, Raju-K12, menambah bayaran kepada transaksi yang digantikan dan mengalami kehilangan dana. Dalam serangan ini, pelayan jahat menghalang transaksi baharu yang disebarkan oleh klien, dan memasukkan transaksi konflik ke dalam sejarah, menukar output asal kepada alamat penyerang. Transaksi pengganti itu pada masa itu tidak sah secara tanda tangan, tetapi klien ringan tidak mengesahkan tanda tangan tersebut sebelum memaparkan transaksi yang belum disahkan; selepas pengguna secara manual menambah bayaran melalui RBF dan menandatangani, pembayaran penyerang berjaya. Kedua-dua individu menyatakan bahawa alamat penyerang mempunyai empat digit terakhir yang sama dengan alamat penerima sah. Pengumuman tersebut tidak mengumumkan jumlah dana yang dicuri, identiti transaksi, atau alamat penyerang. Pembaikan berkaitan dengan penghantaran 90fe308, yang mengesahkan tanda tangan input milik dompet sebelum menulis transaksi memori ke sejarah tempatan, tetapi tidak menggantikan input dari alamat di luar dompet, dan tidak melakukan pengesahan konsensus penuh. Pengumuman menyarankan pengguna yang belum dikemas kini untuk mengesahkan alamat dan jumlah output setiap kali menandatangani; klien yang menyambung ke pelayan sendiri atau boleh dipercayai tidak terjejas oleh serangan ini. Dalam garis masa, serangan ini pertama kali dilaporkan secara peribadi pada 11 Oktober, menerima laporan kehilangan bayaran tambahan pada 18 Oktober, versi pembaikan ditandai pada 23 Oktober, dan binari serta pengumuman awam dikeluarkan pada 24 Oktober.
Dompet Bitcoin Electrum memperbaiki kerentanan pencurian caj dalam versi 4.8.3
ChaincatcherKongsi
Ringkasan
Berita bitcoin muncul pada 24 Oktober apabila dompet Electrum memperbaiki kerentanan pencurian caj dalam versi 4.8.3. Penyerang memanfaatkan volume transaksi untuk mengambil dana dengan menggantikan transaksi sah dengan tanda tangan tidak sah. Dua pengguna melaporkan kerugian, dengan seorang pengguna menyatakan alamat penyerang sepadan dengan empat digit terakhir penerima. Pembaikan memverifikasi tanda tangan sebelum memperbaharui sejarah tempatan. Electrum mendesak pengguna untuk memeriksa semula alamat dan jumlah sebelum menandatangani. Isu ini dilaporkan secara peribadi pada 11 Oktober, dengan kerugian pertama pada 18 Oktober dan pembaikan dikeluarkan pada 23 Oktober.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.