Electrum виправив безпековий недолік, який дозволяв зловмисникам перенаправляти платежі bitcoin, коли користувачі збільшували комісії за транзакції, не викрадаючи приватні ключі. Розробники оголосили про цю вразливість 24 жовтня і підтвердили, що зловмисні сервери вже використовували цей недолік. Розробники підтвердили, що щонайменше один користувач без відома схвалив шахрайську транзакцію і втратив bitcoin. Вразливість високого рівня серйозності стосується версій раніше 4.8.3.
Розголошення з’явилося після скарг, отриманих 11 жовтня та 18 жовтня. Перший скаржник побачив незнайому транзакцію у гаманці після надсилання платежу. Другий скаржник повідомив про втрату коштів під час спроби прискорити очікуючий переказ. Зловмисники в обох випадках створили bitcoin-адреси, останні чотири символи яких збігалися з адресами одержувачів. Ці подібності могли ввести користувачів в оману, які перевіряли лише частину адреси.
Ця вразливість експлуатує залежність Electrum від зовнішніх серверів для отримання інформації про непідтверджені транзакції. Зловмисний сервер може перешкодити доставці розголосу платіжної транзакції користувача до мережі та надати конфліктуючу транзакцію, що перенаправляє кошти на адресу, контролювану зловмисником. Підмінена транзакція спочатку має недійсні підписи і, отже, не може бути оброблена як дійсний платіж. Однак вразливі клієнти Electrum відображали підмінену транзакцію в історії непідтверджених транзакцій, не перевіряючи спочатку підписи. Внаслідок цього справжній платіж зникає з цього вигляду, тоді як шахрайська транзакція виглядає як очікуюча підтвердження.
Зловмисники можуть використовувати функцію Bitcoin Replace-by-Fee, яка дозволяє користувачам збільшувати комісії, щоб спонукати майнерів підтвердити затримані транзакції. Electrum створює нові підписи, що схвалюють замінені деталі платежу, якщо користувач вручну збільшує комісію за шахрайську транзакцію. Нове схвалення підтверджує платіж, спрямований зловмисником, і дозволяє викрасти кошти, не відкриваючи приватні ключі користувача. За повідомленнями, у інциденті від 18 жовтня зловмисники призначили нульову комісію для шахрайської транзакції, що могло спонукати жертву збільшити комісію. Ця атака демонструє ризик прийняття деталей транзакції від недовіреної серверної сторони без достатніх перевірок.
Останній випуск Electrum перевіряє підписи на вхідних даних, що належать гаманцю, перед додаванням непідтверджених транзакцій до локальної історії. Ці перевірки запобігають розгортанню звітного методу підміни до регулювання комісії. Розробники позначили версію 4.8.3 23 жовтня. Оновлення було розповсюджено 24 жовтня разом із публічним розкриттям безпеки.
Розробники порадили користувачам отримати патч через офіційний вебсайт Electrum. Розробники також закликали користувачів перевіряти повні адреси отримувачів і суми платежів кожного разу, коли вони підписують транзакції. У попередженні зазначено, що клієнти, які використовують лише довірені сервери, включаючи приватно налаштовані сервери, не є вразливими до цієї атаки. Патч не перевіряє підписи для кожної надходячої транзакції.
Electrum не розкрив суму вкрадених коштів. Розробники Electrum підтвердили, що деякі сервери активно проводили атаку. Кількість скомпрометованих гаманців та загальна сума вкрадених коштів залишаються невирішеними.
Electrum усунув безпековий пробіл, що дозволяв красти bitcoin без приватних ключів
CryptoSlateПоділитися
Короткий зміст
Новини про bitcoin з’явилися, коли Electrum виправив безпекову вразливість, яка дозволяла атакуючим перенаправляти платежі bitcoin, коли користувачі змінювали комісії, не маючи доступу до приватних ключів. Ця вразливість у версіях раніше 4.8.3 дозволяла зловмисним серверам обманювати користувачів, змушуючи їх схвалювати фальшиві транзакції. Один із користувачів втратив bitcoin, схваливши шахрайський платіж. Проблема виникла через те, що Electrum залежав від зовнішніх серверів для даних про непідтверджені транзакції, що дозволяло атакуючим замінювати справжні транзакції на фальшиві. Виправлення було випущено 24 жовтня, додавши перевірку підписів, щоб запобігти таким атакам. Розробники закликають користувачів двічі перевіряти адреси та використовувати надійні сервери.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.