Кошелек bitcoin Electrum выпустил версию 4.8.3 24 октября для устранения уязвимости высокой степени опасности, позволявшей вредоносным серверам перенаправлять платежи bitcoin на атакующих. Уязвимость затрагивает все версии до 4.8.3. Исправление было помечено в репозитории кода 23 октября, а исполняемые версии стали доступны на следующий день.
Атака использует доверие Electrum к серверам при обработке неподтвержденных транзакций. Скомпрометированный сервер может скрыть фактический платеж пользователя и заменить его конфликтующей транзакцией с адресом назначения атакующего и нулевой комиссией. Ранее Electrum отображал подмененную транзакцию как легитимную в истории кошелька, не проверяя подписи. Нулевая комиссия заставляет платеж выглядеть застрявшим.
Пользователь, увеличивающий комиссию за явную оплату, подписывает и транслирует новую, действительную транзакцию, отправляющую средства злоумышленнику. Оригинальная оплата никогда не достигает сети, поэтому транзакция с повышенной комиссией становится первой фактически транслированной оплатой. Разработчик Electrum SomberNight, опубликовавший предупреждение, заявил, что злоумышленники могут сгенерировать адрес назначения, последние четыре символа которого совпадают с адресом получателя. Пользователь, проверяющий только эти символы, таким образом увидит кажущееся совпадение.
В рекомендации говорится, что некоторые серверы активно проводят атаку, и приводятся два сообщения от пользователей. Пользователь, идентифицированный как dannydeezy, впервые сообщил о подозрительной активности серверов 11 октября. Эта манипулированная транзакция осталась на локальном сервере, и средства не были потеряны. Второй пользователь, Raju-K12, сообщил о потере средств 18 октября после увеличения комиссии на манипулированной транзакции.
Версия 4.8.3 проверяет криптографические подписи на входах, принадлежащих кошельку, перед записью неподтвержденной транзакции в локальную историю. Исправление предотвращает вставку сервером фальшивой транзакции, связанной с адресами пользователя, без действительных подписей, которые злоумышленники не могут подделать. Однако Electrum по-прежнему принимает входящие транзакции без проверки подписей, если ни один из входов не принадлежит получателю кошелька. SomberNight признал оставшийся пробел в уведомлении и отметил, что устранение этого пробела потребует дополнительной работы.
Ранее Electrum стал целью кампании, начавшейся в 2018 году и использующей вредоносные серверы для отображения мошеннических уведомлений об обновлениях. К 2020 году эта кампания похитила примерно 25 миллионов долларов США у пользователей Electrum. Electrum позволяет любому запускать сервер, что делает такие атаки возможными.
Пользователи, подключающиеся только к серверу, которым они управляют сами, не затронуты. Пользователям, которые не могут сразу обновиться, следует вручную проверять адреса назначения и суммы перед подписанием любой транзакции. Electrum 4.8.3 доступен через веб-сайт проекта и GitHub.
Кошелек Bitcoin Electrum устраняет критическую уязвимость, позволяющую перенаправлять платежи
OdailyПоделиться
Сводка
Новости о bitcoin: Electrum, популярный кошелек bitcoin, выпустил версию 4.8.3 24 октября для устранения критической уязвимости, позволявшей вредоносным серверам перенаправлять платежи на адреса злоумышленников. Эта ошибка затрагивала все предыдущие версии, позволяя скомпрометированным серверам заменять реальные транзакции фальшивыми с использованием адресов злоумышленников. Два пользователя сообщили о потерях, включая одного, который отправил средства после изменения комиссий по манипулированной транзакции. В обновлении теперь проверяются криптографические подписи неподтвержденных транзакций, связанных с адресами пользователей, хотя для входящих транзакций остается пробел. Пользователям Electrum рекомендуется вручную проверять транзакции, если они не могут обновиться сразу.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.