Electrum, kullanıcıların işlem ücretlerini artırdığında Bitcoin ödemelerini yönlendirmeye izin veren bir güvenlik açığını düzeltti, özel anahtarları çalmadan. Geliştiriciler, 24 Ekim'de bu zafiyeti duyurdu ve kötü niyetli sunucuların bu açığı kullandığını doğruladı. Geliştiriciler, en az bir kullanıcının bilinçsizce bir dolandırıcılık işlemini onayladığını ve Bitcoin kaybettiğini doğruladı. Yüksek ciddiyetteki bu zafiyet, 4.8.3 öncesi sürümleri etkiliyor.
Açıklama, 11 Ekim ve 18 Ekim'de alınan şikayetlerin ardından yapıldı. İlk şikayetçi, bir ödemeyi yaydıktan sonra cüzdanında tanımadığı bir işlem gördü. İkinci şikayetçi, bekleyen bir transferi hızlandırmaya çalışırken fonlarını kaybetti. Her iki olayda da saldırganlar, son dört karakteri hedef alıcıların adresleriyle eşleşen Bitcoin adresleri oluşturdu. Bu benzerlikler, adresin yalnızca bir kısmını kontrol eden kullanıcıları yanıltabilirdi.
Zafiyet, Electrum'un onaylanmamış işlemler hakkında bilgi almak için dış sunuculara olan bağımlılığını kullanır. Kötü niyetli bir sunucu, kullanıcının yaydığı ödemeyi ağa ulaştırmadan engelleyebilir ve fonları bir saldırganın kontrolündeki adrese yönlendiren çakışan bir işlem sağlayabilir. Yerine geçen işlem başlangıçta geçersiz imzalara sahiptir ve bu nedenle geçerli bir ödeme olarak işlenemez. Ancak zafiyetli Electrum istemcileri, imzaları kontrol etmeden önce yerine geçen işlemi onaylanmamış işlem geçmişinde gösterir. Bu nedenle gerçek ödeme bu görünümde kaybolurken, sahte ödeme onay bekliyor gibi görünür.
Saldırganlar, kullanıcıların gecikmiş işlemlerini onaylamak için ücretleri artırmasına izin veren Bitcoin'in Ücreti Yerine Koy özelliğiyle kötüye kullanılabilir. Electrum, bir kullanıcı hileli işlemin ücretini manuel olarak artırırsa, yeni imzalar oluşturarak değiştirilmiş ödeme detaylarını onaylar. Bu yeni onay, saldırganın yönlendirdiği ödemenin geçerli olduğunu doğrular ve kullanıcının özel anahtarlarını açığa çıkarmadan hırsızlığı mümkün kılar. Saldırganlar, 18 Ekim olayında hileli işleme sıfır ücret atadı ve bu da mağduru ücreti artırmaya teşvik edebilir. Saldırı, yeterli kontroller olmadan güvensiz bir sunucudan işlem detaylarını kabul etmenin riskini göstermektedir.
En son Electrum sürümü, onaylanmamış işlemler yerel geçmişe eklenmeden önce cüzdan sahibi girdiler üzerinde imzaları kontrol eder. Bu kontroller, bildirilen yer değiştirme yönteminin ücret ayarlamasına ilerlemesini engeller. Geliştiriciler, 23 Ekim'de 4.8.3 sürümünü etiketledi. Geliştiriciler, güncellemeyi 24 Ekim'de kamu güvenliği açıklamasıyla birlikte dağıttı.
Geliştiriciler, kullanıcıların düzeltmeyi Electrum'un resmi web sitesinden almasını önerdi. Geliştiriciler, kullanıcıların her işlemi imzalarken tam alıcı adreslerini ve ödeme miktarlarını kontrol etmelerini de çağırdı. Danışma, özel olarak işletilen sunucular da dahil olmak üzere yalnızca güvenilir sunucular kullanan müşterilerin bu saldırıya karşı savunmasız olmadığını belirtiyor. Düzeltme, gelen her işlem için imzaları kontrol etmez.
Electrum, çalınan miktarı açıklamadı. Electrum'un bakım ekibi, bazı sunucuların aktif olarak saldırganlık yaptığını doğruladı. Kompromiz edilen cüzdan sayısı ve toplam çalınan fonlar hâlâ çözülmemiş durumda.
Electrum, Özel Anahtarlar Olmadan Bitcoin Çalınmasını Mümkün Kılan Güvenlik Açığını Düzeltti
CryptoSlatePaylaş
Özet
Bitcoin haberleri, Electrum'un kullanıcıların ücretleri ayarladığında özel anahtarlar olmadan Bitcoin ödemelerini yönlendirmeye izin veren bir güvenlik ihlalini giderdiği şeklinde ortaya çıktı. 4.8.3 öncesi sürümlerdeki bu hata, kötü niyetli sunucuların kullanıcıları sahte işlemler onaylamaya ikna etmesine neden oldu. Bir kullanıcı, sahte bir ödeme onayladıktan sonra bitcoin kaybetti. Sorun, Electrum'un onaylanmamış veriler için dış sunuculara güvenmesinden kaynaklandı ve saldırganların gerçek işlemleri sahte işlemlerle değiştirmesine izin verdi. Bu tür saldırıları engellemek için 24 Ekim'de bir düzeltme yayınlandı ve imza kontrolleri eklendi. Geliştiriciler, kullanıcıların adresleri iki kez kontrol etmelerini ve güvenilir sunucuları kullanmalarını tavsiye ediyor.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.