ChainCatcher relata que, em 24 de outubro, a carteira leve de Bitcoin Electrum divulgou um ataque malicioso de servidor contra o aumento de taxas de transação, corrigido na versão 4.8.3, conforme o aviso de segurança do GitHub GHSA-6jp4-8v48-cc5v. Ao realizar aumentos de taxa padrão, os usuários podem inadvertidamente assinar transações que transferem seus fundos para o atacante. Os desenvolvedores afirmam que a causa foi relatada por usuários que perderam fundos após assinar aumentos de taxa. Dois relatos apresentaram resultados diferentes: um usuário transmitiu um pagamento e descobriu que a transação no histórico da carteira havia sido substituída, afirmando que o pagamento original não entrou na rede peer-to-peer do Bitcoin e foi retido pelo servidor; outro usuário, Raju-K12, aumentou a taxa da transação substituída e perdeu fundos. No ataque, o servidor malicioso retém a nova transação transmitida pelo cliente e insere no histórico uma transação conflitante, substituindo o destino original por um endereço do atacante. Essa transação substituta tinha assinatura inválida no momento, mas clientes leves não verificam essas assinaturas antes de exibir transações não confirmadas; após o usuário aumentar manualmente a taxa via RBF e assinar, o pagamento do atacante se torna válido. Ambos relataram que o endereço do atacante compartilhava os últimos quatro dígitos com o endereço legítimo de recebimento. O aviso não divulgou o valor roubado, identificadores de transação ou o endereço do atacante. O patch corresponde ao commit 90fe308, que verifica as assinaturas dos inputs pertencentes à carteira antes de gravar transações da mempool no histórico local, mas não verifica inputs de endereços externos à carteira nem realiza validação completa de consenso. O aviso recomenda que usuários não atualizados verifiquem sempre os endereços e valores de saída ao assinar; clientes conectados a servidores próprios ou confiáveis não são afetados por este ataque. Na linha do tempo: o problema foi divulgado pela primeira vez em 11 de outubro, relatos de perda por aumento de taxa foram recebidos em 18 de outubro, a versão corrigida foi marcada em 23 de outubro, e os binários e divulgação pública ocorreram em 24 de outubro.
Carteira Bitcoin Electrum corrige vulnerabilidade de roubo de taxas na versão 4.8.3
ChaincatcherCompartilhar
Resumo
Notícias sobre bitcoin surgiram em 24 de outubro, quando a carteira Electrum corrigiu uma vulnerabilidade de roubo de taxas na versão 4.8.3. Atacantes exploraram o volume de transações para desviar fundos substituindo transações legítimas por assinaturas inválidas. Dois usuários relataram perdas, com um deles observando que o endereço do atacante correspondia aos últimos quatro dígitos do destinatário. A correção verifica as assinaturas antes de atualizar o histórico local. A Electrum pediu aos usuários que verifiquem novamente os endereços e as quantias antes de assinar. O problema foi relatado privadamente em 11 de outubro, com a primeira perda ocorrendo em 18 de outubro e a correção lançada em 23 de outubro.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.