Гаманець bitcoin Electrum випустив версію 4.8.3 24 жовтня, щоб виправити вразливість високого рівня серйозності, яка дозволяла зловмисним серверам перенаправляти платежі bitcoin на атакувачів. Ця вразливість стосується всіх версій раніше 4.8.3. Виправлення було позначено у репозиторії коду 23 жовтня, а виконувані файли стали доступні наступного дня.
Атака використовує довіру Electrum до серверів при обробці непідтверджених транзакцій. Заражений сервер може приховувати справжній платіж користувача та замінювати його конфліктною транзакцією з адресою призначення атакуючого та нульовою комісією. Раніше Electrum відображав підмінену транзакцію як легітимну в історії гаманця, не перевіряючи підписи. Нульова комісія робить платіж видимим як застряглий.
Користувач, який збільшує комісію за оплату, підписує та розсилає нову, дійсну транзакцію, яка надсилає кошти атакуючому. Оригінальна оплата ніколи не досягає мережі, тому транзакція зі збільшеною комісією стає першою реально опублікованою оплатою. Розробник Electrum SomberNight, який опублікував попередження, сказав, що атакуючі можуть створити адресу отримувача, останні чотири символи якої збігаються з адресою призначеного отримувача. Користувач, який перевіряє лише ці символи, отже, побачить зовнішнє збіг.
У сповіщенні зазначається, що деякі сервери активно проводять атаку, і наводяться два звіти користувачів. Користувач, ідентифікований як dannydeezy, першим повідомив про підозрілу діяльність сервера 11 жовтня. Ця маніпульована транзакція залишилася на локальному сервері, і кошти не були втрачені. Другий користувач, Raju-K12, повідомив про втрату коштів 18 жовтня після збільшення комісії за маніпульовану транзакцію.
Версія 4.8.3 перевіряє криптографічні підписи на входах, що належать гаманцю, перед записом непідтвердженої транзакції в локальну історію. Цей патч запобігає тому, щоб сервер вставляв фальшиву транзакцію, що містить адреси користувача без дійсних підписів, які зловмисники не можуть підробити. Однак Electrum все ще приймає надходящі транзакції без перевірки підписів, якщо жоден з вхідних елементів не належить отримувачу. SomberNight визнав існуючий розрив у попередженні та сказав, що усунення цього розриву вимагатиме додаткових зусиль.
Раніше Electrum став мішенню кампанії, яка розпочалася у 2018 році і використовувала шкідливі сервери для відображення фальшивих повідомлень про оновлення. До 2020 року ця кампанія вкрадла приблизно $25 мільйонів у користувачів Electrum. Electrum дозволяє будь-кому запускати сервер, що робить такі атаки можливими.
Користувачі, які підключені лише до сервера, який вони обслуговують самостійно, не постраждають. Користувачі, які не можуть відразу оновитися, повинні вручну перевірити адреси призначення та суми перед підписанням будь-якої транзакції. Electrum 4.8.3 доступний через веб-сайт проекту та GitHub.
Гаманець Bitcoin Electrum усунув критичну вразливість, що дозволяла перенаправляти платежі
OdailyПоділитися
Короткий зміст
Новини про bitcoin: Electrum, популярний гаманець bitcoin, випустив версію 4.8.3 24 жовтня, щоб виправити критичну вразливість, яка дозволяла зловмисним серверам перенаправляти платежі на атакуючих. Ця проблема впливалася на всі попередні версії, дозволяючи скомпрометованим серверам замінювати справжні транзакції фальшивими за адресами атакуючих. Два користувачі повідомили про втрати, включаючи одного, хто надіслав кошти після налаштування комісій у маніпульованій транзакції. Оновлення тепер перевіряє криптографічні підписи на непідтверджених транзакціях, що стосуються адрес користувачів, хоча залишається прогалина для надходячих. Користувачам Electrum рекомендується вручну перевіряти транзакції, якщо вони не можуть одразу оновитися.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.