Bitcoin cüzdanı Electrum, 24 Ekim'de, saldırganlara bitcoin ödemelerini yönlendirmeye izin veren yüksek ciddiyetteki bir zafiyeti gidermek için 4.8.3 sürümünü yayınladı. Bu zafiyet, 4.8.3 öncesi tüm sürümleri etkiliyor. Düzeltme, 23 Ekim'de kod deposunda etiketlendi ve yürütülebilir sürümler bir sonraki gün kullanıma sunuldu.
Saldırı, Electrum'un onaylanmamış işlemlerle çalışırken sunuculara olan güveninden yararlanır. Bir kompromisli sunucu, kullanıcının gerçek ödemeyi gizleyebilir ve yerine, saldırganın hedef adresini ve sıfır ücreti içeren çakışan bir işlem yerleştirebilir. Electrum, daha önce imzaları kontrol etmeden, yerine konulan işlemi cüzdan geçmişi üzerinde legítim olarak gösterirdi. Sıfır ücret, ödemenin duraklamış gibi görünmesine neden olur.
Görünür ödeme ücretini artıran bir kullanıcı, fonları saldırgana gönderen yeni, geçerli bir işlemi imzalar ve yayınlar. Orijinal ödeme hiçbir zaman ağa ulaşmaz; bu nedenle ücreti artırılmış işlem, aslında ilk olarak yayınlanan ödeme olur. Danışmanlığı yayımlayan Electrum geliştiricisi SomberNight, saldırganların, hedeflenen alıcının adresinin son dört karakteriyle eşleşen bir hedef adresi oluşturabileceğini söyledi. Sadece bu karakterleri kontrol eden bir kullanıcı, bu durumda görünür bir uyum görecektir.
Danışmanlık, bazı sunucuların aktif olarak saldırganlık yaptığını belirtiyor ve iki kullanıcı raporuna dayanıyor. Dannydeezy olarak tanımlanan bir kullanıcı, 11 Ekim'de şüpheli sunucu faaliyetini ilk kez rapor etti. Manipüle edilen işlem yerel sunucuda kaldı ve hiçbir fon kaybedilmedi. İkinci bir kullanıcı olan Raju-K12, 18 Ekim'de manipüle edilen bir işlemde ücreti artırınca fonlarını kaybetti.
Sürüm 4.8.3, onaylanmamış bir işlemi yerel geçmişe kaydetmeden önce cüzdana ait girdilerin kriptografik imzalarını kontrol eder. Bu düzeltme, saldırganların imzalayamayacağı geçerli imzalar olmadan sunucunun kullanıcının kendi adreslerini içeren sahte bir işlem eklemesini önler. Ancak Electrum, girdilerden hiçbiri alıcı cüzdana ait değilse, imzaları kontrol etmeden gelen işlemleri kabul etmeye devam eder. SomberNight, bildirimde kalan boşluğu kabul etti ve bu boşluğun kapatılmasının daha fazla çalışma gerektireceğini söyledi.
Electrum, 2018 yılında başlayıp zararlı sunucular aracılığıyla sahte güncelleme bildirimleri gösteren bir kampanyayla karşı karşıya kalmıştı. Bu kampanya, 2020 yılına kadar Electrum kullanıcılarından tahminen 25 milyon dolar çalmıştı. Electrum, herkesin bir sunucu çalıştırmasına izin verdiğinden bu tür saldırılar mümkün hale gelmişti.
Kendi sunucularına yalnızca bağlanan kullanıcılar etkilenmez. Hemen güncelleyemeyen kullanıcılar, herhangi bir işlemi imzalamadan önce varış adreslerini ve miktarları manuel olarak kontrol etmelidir. Electrum 4.8.3, projenin web sitesi ve GitHub üzerinden mevcuttur.
Bitcoin Cüzdanı Electrum, Ödeme Yönlendirme İzinleyen Kritik Bir Güvenlik Açığını Düzeltiyor
OdailyPaylaş
Özet
Bitcoin haberi: Popüler bir Bitcoin cüzdanı olan Electrum, 24 Ekim'de 4.8.3 sürümünü yayınladı; bu güncelleme, kötü niyetli sunucuların ödemeleri saldırganlara yönlendirmesine izin veren kritik bir güvenlik açıklarını giderdi. Bu hata, daha önceki tüm sürümleri etkiledi ve işlenmiş sunucuların gerçek işlemler yerine saldırgan adreslerini kullanarak sahte işlemlerle değiştirmesine olanak tanıdı. İki kullanıcı, biri manipüle edilmiş bir işlemde ücretleri ayarladıktan sonra fon gönderdi, kayıplarını bildirdi. Güncellenen sürüm, kullanıcı adreslerini içeren onaylanmamış işlemler üzerinde kriptografik imzaları kontrol ediyor; ancak gelen işlemler için hâlâ bir boşluk var. Electrum kullanıcıları, hemen güncelleyemiyorlarsa işlemlerini manuel olarak doğrulamaları için teşvik ediliyor.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.