Electrum cüzdanı güvenlik açıklarını düzeltti, hakerler Bitcoin'i çalmıştı
Electrum, 4.8.3 sürümünü yayınladı ve kritik bir Bitcoin cüzdan açıklığını giderdi. Geliştiriciler, kötü niyetli sunucuların bu açıklığı kullanarak kullanıcı ödemelerini yönlendirdiğini ve en az bir adet para çalma olayı gerçekleştiğini doğruladı.
- Electrum, kötü niyetli sunucuların kritik bir açığı kullanıyor olduğunu doğruladıktan sonra 4.8.3 sürümünü yayınladı.
- Saldırganlar, işlem bekleme halindeki Bitcoin ödemelerini dolandırıcılık amaçlı işlemlerle değiştirir; kullanıcılar, işlem ücretini artırırken işlemin normal olduğunu düşünüp izin verebilir.
- İki kullanıcı olayı bildirdi; bunlardan biri, işlem ücretlerindeki artış nedeniyle Bitcoin kaybetti.
- Bu güvenlik açığı, 4.8.3'ten önceki tüm Electrum sürümlerini etkiler; geliştiriciler toplam kayıp miktarını henüz açıklamadı.
- Güvenlik düzeltmesi, cüzdan tarafından kontrol edilen varlıkların başlatmış ancak onaylanmamış işlemlerinin imzalarını doğrulayacaktır.
Bu cüzdanın 24 Ekim'de yayınladığı güvenlik duyurusuna göre, saldırganlar, Electrum'un onaylanmamış Bitcoin işlemlerini işleme şeklini kullanarak, legítim dış ödemeleri dolandırıcılık işlemlerine değiştirdi; kullanıcılar işlem ücretini artırırken bu işlemleri istemsizce yetkilendirebilir.
Electrum, işlem geçmişini almak, işlemleri yayınlamak ve diğer ağ bilgilerini almak için dış sunuculara bağlanan hafif bir Bitcoin cüzdanıdır. Bu yazılım, tam Bitcoin düğümü gibi blok zinciri etkinliklerinin her aşamasını kendi başına işlemez.
Belgeler, Electrum'un onaylanan işlemlerini Basit Ödeme Doğrulaması (Simple Payment Verification) ile doğruladığını, ancak bekleyen işlemlerini görüntülerken tarihsel olarak ana sunucusuna güvendiğini açıklıyor.
Saldırgan, bu farkı kullanarak gönderilen işlemleri kötü niyetli bir sunucu aracılığıyla engelleyerek, Bitcoin ağına ulaşmadan önce değiştirdi.
Legitim işlemlerin yayılmasını engelledikten sonra, saldırgan, alıcı adresini saldırganın kontrolündeki bir adrese değiştiren bir alternatif işlem gönderebilir.
Geçersiz imzaya sahip alternatif işlemler, açıklığı olan Electrum sürümleri tarafından cüzdan geçmişine gösterilmeden önce kontrol edilmez.
Kullanıcılar, Replace-by-Fee (RBF) ile işlem ücretini artırma girişiminde bulunduğunda bu dolandırıcılık tehlikeli hale gelir. RBF, onaylanmamış bir ödemeyi daha yüksek bir ücretli başka bir işlemle değiştirmeye izin veren Bitcoin'in bir özelliğidir.
Kullanıcı işlem ücreti ayarlamasını onayladığında, bilinçsizce bir saldırganı ödeme yapacak geçerli bir işlem imzalayabilir.
Electrum, gerçek dünya saldırılarını onaylıyor ve bitcoin kayıplarına neden oluyor
Geliştiriciler, bu zafiyetin artık sadece teorik bir saldırı olmadığını gösteren iki gizli rapor edilen olayı açıkladı.
11 Ekim'de, dannydeezy adlı bir kullanıcı, Electrum geçmişinde gösterilen bir işlemin, ilk olarak gönderilen ödemeye uygun olmadığını bildirdi.
18 Ekim'de başka bir kullanıcı olan Raju-K12, işlem ücretini artırmaya çalışırken para kaybetti ve geliştiriciye başvurdu.
Duyuruya göre, bu iki olay da saldırganın kontrolündeki ödeme adreslerini içeriyor ve bu adresler, hedef ödeme tarafının Bitcoin adresinin son dört karakteriyle eşleşecek şekilde tasarlandı.
İkinci olayda, dolandırıcılık işlemi için işlem ücreti sıfırdı ve geliştiriciler, mağdurları ücreti artırma işlemi yapmaya teşvik etmek amacıyla bu şekilde yapıldığını düşünüyor.
İlk rapor, iki Trezor cihazı kullanılan 2-of-3 çok imzalı cüzdanı içeriyor. Yasal işlemler 31 girdi ve 1 çıktı içeriyor.
Araştırmacılar, orijinal ödeme için tüm 62 imzanın geçerli olduğunu, ancak değiştirilen işlem için geçersiz olduğunu tespit etti. Sahte işlem, neredeyse tüm bitcoin'leri benzer bir adrese aktardı ve sadece küçük bir kısmı cüzdana geri gönderdi.
Orijinal işlem hala geçerlidir, ancak açık比特币 ağına girmedi.
Electrum, gerçek dünyada bazı sunucuların bu saldıryı gerçekleştirdiğini kabul etti. Ancak geliştiriciler, saldırgan sunucuların sayısını, çalınan miktarı veya daha fazla kurbanın tanımlanıp tanımlanmadığını açıklamadı.
Electrum 4.8.3, kötü niyetli işlem ücreti artışlarını engelliyor
Onarım, 23 Ekim'de 4.8.3 sürümüne dahil edildi ve 24 Ekim'de indirilebilir ikili dosyalar sunuldu.
90fe308 gönderisiyle, geliştiriciler, kullanıcı cüzdanı tarafından kontrol edilen onaylanmamış işlemler için imza doğrulaması ekledi.
Electrum, bu işlemlerin yerel geçmişe dahil edilmesinden önce imzaları kontrol ederek, duyuruda tanımlanan sahtekâr dış ödemelerin legítim işlem olarak gösterilmesini engelliyor.
Bu güncelleme, Electrum'u tam bir Bitcoin düğümüne dönüştürmeyecektir. Geliştiriciler, gelen onaylanmamış işlemlerin yeni imza kontrolü kapsamına dahil olmadığını ve onaylanmış ödemelerin mevcut doğrulama sürecini kullanmaya devam edeceğini açıkladı.
4.8.3 öncesi sürümleri çalışan kullanıcılar, güncellemeyi Electrum resmi sitesinden indirmeye teşvik ediliyor.
Geçici olarak yükseltilemeyen kullanıcılar için geliştiriciler, işlem ücreti ile değiştirilen işlemleri de dahil olmak üzere tam alıcı adresini ve tutarı kontrol etmeyi öneriyor.
Duyuruya göre, yalnızca güvenilen sunuculara (kendi sunucularını da dahil) bağlanan kullanıcılar, bu özel zararlı sunucu saldırısından etkilenmeyecektir.
Electrum'un geçmiş saldırıları, sunucu risklerinin tekrarlandığını göstermiştir.
Bu olay, Electrum'un dış sunuculara olan bağımlılığına yönelik önceki saldırı girişimlerini sürdürmektedir.
Aralık 2018'de crypto.news, kötü niyetli sunucuların kullanıcılara sahte yazılım güncellemesi açıklamalarını gösterdiğini rapor etti. O dönemdeki tahminlere göre kayıp yaklaşık 1 milyon dolar idi.
2019'da başka bir kötü amaçlı sunucu saldırısı, sahte cüzdan güncellemeleri ve hizmet reddi faaliyetleri kullanarak kullanıcıları işgal edilmiş yazılımlara yönlendirdi.
Bu saldırılar, aldatıcı indirmelere dayanırken, bu yeni düzeltilen zafiyet, orijinal olarak legítim bir cüzdan içinde, bekleyen işlemler bilgisini manipüle etmeye dayanmaktadır.
Electrum sunucuları hakkında 2020 yılında yayınlanan bir röportaj, işlem geçmişine dış altyapıya olan bağımlılık dahil olmak üzere hafif cüzdanların ödünlerini tartıştı.
Electrum, kendi belgelerinde, istemcisinin genellikle yaklaşık 10 sunucuya bağlandığını, ancak cüzdan geçmişini almak ve işlemlerini yayınlamak için bir ana sunucu seçtiğini belirtir. Belge, bu ana sunucunun onaylanmamış işlemler konusunda güvenilir olduğunu da ifade eder.