Electrum устранил уязвимость безопасности, позволявшую злоумышленникам перенаправлять платежи bitcoin, когда пользователи увеличивали комиссию за транзакцию, не похищая приватные ключи. Разработчики объявили об уязвимости 24 октября и подтвердили, что вредоносные серверы уже эксплуатировали эту уязвимость. Разработчики подтвердили, что по крайней мере один пользователь без ведома согласился на мошенническую транзакцию и потерял bitcoin. Уязвимость высокой степени серьезности затрагивает версии ранее 4.8.3.
Раскрытие информации последовало после жалоб, полученных 11 октября и 18 октября. Первый заявитель заметил незнакомую транзакцию в кошельке после отправки платежа. Второй заявитель сообщил о потере средств при попытке ускорить ожидающий перевод. Злоумышленники в обоих инцидентах создали bitcoin-адреса, последние четыре символа которых совпадали с адресами получателей. Эти сходства могли обмануть пользователей, проверявших только часть адреса.
Уязвимость использует зависимость Electrum от внешних серверов для получения информации о неподтвержденных транзакциях. Злоумышленнический сервер может препятствовать доставке платежа пользователя в сеть и предоставить конфликтующую транзакцию, направляющую средства на адрес, контролируемый атакующим. Подмененная транзакция изначально имеет недействительные подписи и поэтому не может быть обработана как действительный платеж. Однако уязвимые клиенты Electrum отображали подмененную транзакцию в истории неподтвержденных транзакций, не проверяя подписи сначала. В результате подлинный платеж исчезает из этого представления, а мошеннический платеж выглядит как ожидающий подтверждения.
Злоумышленники могут затем использовать функцию Bitcoin Replace-by-Fee, которая позволяет пользователям повышать комиссию для стимулирования майнеров подтвердить задержанные транзакции. Electrum создает новые подписи, одобряющие замененные платежные данные, если пользователь вручную повышает комиссию мошеннической транзакции. Новое одобрение подтверждает платеж, направленный злоумышленником, и позволяет совершить кражу, не раскрывая частные ключи пользователя. Сообщается, что в инциденте от 18 октября злоумышленники назначили нулевую комиссию для мошеннической транзакции, что могло побудить жертву увеличить комиссию. Атака демонстрирует риск принятия данных транзакции от ненадежного сервера без достаточной проверки.
Последний выпуск Electrum проверяет подписи на входах, принадлежащих кошельку, перед добавлением неподтвержденных транзакций в локальную историю. Эти проверки препятствуют реализации сообщенного метода подмены для изменения комиссии. Разработчики отметили версию 4.8.3 23 октября. Обновление было распространено 24 октября вместе с публичным раскрытием информации о безопасности.
Разработчики посоветовали пользователям получить обновление через официальный сайт Electrum. Разработчики также призвали пользователей проверять полные адреса получателей и суммы платежей каждый раз при подписании транзакций. В рекомендации говорится, что клиенты, использующие только доверенные серверы, включая частные серверы, не подвержены этой атаке. Обновление не проверяет подписи для каждой входящей транзакции.
Electrum не раскрыл сумму похищенных средств. Разработчики Electrum подтвердили, что некоторые серверы активно участвовали в атаке. Количество скомпрометированных кошельков и общая сумма похищенных средств остаются неопределенными.
Electrum устраняет уязвимость, позволяющую украсть bitcoin без приватных ключей
CryptoSlateПоделиться
Сводка
Новости о bitcoin появились, когда Electrum сообщила о уязвимости, позволявшей злоумышленникам перенаправлять платежи bitcoin, когда пользователи изменяли комиссию, без необходимости доступа к приватным ключам. Уязвимость в версиях до 4.8.3 позволяла вредоносным серверам обманывать пользователей, заставляя их одобрять фальшивые транзакции. Один пользователь потерял bitcoin, одобрив мошеннический платеж. Проблема возникла из-за того, что Electrum полагалась на внешние серверы для данных о неподтвержденных транзакциях, что позволяло злоумышленникам заменять реальные транзакции на фальшивые. Исправление было выпущено 24 октября, добавив проверку подписей для предотвращения таких атак. Разработчики призывают пользователей дважды проверять адреса и использовать доверенные серверы.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.