Electrum — это биткоин-кошелек, который подключается к внешним серверам для получения истории транзакций. Electrum проверяет транзакции с помощью верификации простого платежа (Simple Payment Verification). Кошелек при отображении ожидающих транзакций доверял эту функцию своему основному серверу.
Злоумышленники перехватывали транзакции через вредоносные серверы еще до того, как информация попадала в сеть Биткоина. Отключив отображение легитимной транзакции, преступники могли заменять ее, вставляя вместо адреса получателя свой адрес. Несмотря на то, что поддельная транзакция содержала недействительные подписи, уязвимые версии Electrum не проверяли их перед отображением транзакции в истории кошелька.
Риск возникал, когда пользователи пытались увеличить комиссию за транзакцию через функцию Replace-by-Fee (RBF), позволяющую заменить неподтвержденный платеж другим, с более высокой комиссией. Подтверждая корректировку комиссии, пользователи могли подписать действительную транзакцию в пользу злоумышленника.
Разработчики подтвердили два случая кражи криптоактивов. 11 октября владелец кошелька под псевдонимом dannydeezy сообщил, что транзакция, отображаемая в истории Electrum, не соответствует изначально отправленному платежу. Еще один аноним, Raju-K12, 18 октября уведомил разработчиков, что потерял средства в момент, когда пытался увеличить комиссию за транзакцию. В его случае мошенническая транзакция имела нулевую комиссию, что, по мнению команды Electrum, было сделано для того, чтобы жертва сама инициировала повышение комиссии.
Уязвимость затронула все версии Electrum до 4.8.3. Разработчики не уточнили сумму украденных средств, число задействованных при атаке серверов, число жертв. Команда криптокошелька выпустила исправление, добавив его 23 октября в версию 4.8.3. Загружаемые бинарные файлы стали доступны 24 октября. Разработчики ввели проверку подписи для неподтвержденных транзакций и уточнили, что обновление не превращает Electrum в полный узел Биткоина. Это означает, что входящие неподтвержденные транзакции остаются вне новых проверок подписи, тогда как подтвержденные платежи продолжают проходить прежние процедуры верификации.
Владельцам ранних версий кошелька рекомендуется скачать обновление с официального сайта Electrum. Тем, кто не может обновиться быстро, стоит проверять полные адреса получателей и суммы перед подписанием транзакций, включая замену комиссий. Пользователи, подключающиеся только к доверенным серверам, включая собственный, этой атаке не подвержены.
Недавно специалисты Symantec Threat Hunter обнаружили новую версию инфостилера Aoki (Aokigahara) — программы, крадущей файлы сессий ИИ-ассистентов, файлы cookie и данные криптокошельков. Хакеры используют украденные ключи API для получения доступа к связанным репозиториям и облачным сервисам.