الیکٹروم بٹ کوائن والٹ میں کمزوری کی وجہ سے فی بمپ ایکسپلوٹ کے ذریعہ چوری کی جا سکتی ہے

زیادہ تر $Bitcoin چوریوں کے لیے آپ کی خفیہ عبارت درکار ہوتی ہے۔ اس میں ایسا نہیں ہوا۔ بٹ کوائن کے قدیم ترین والٹس میں سے ایک، الیکٹرم میں ایک خامی کی وجہ سے ایک ناپاک سرور ایک معلق ادائیگی کو ایک جعلی ادائیگی سے بدل سکتا تھا اور پھر آپ کو کچھ بالکل عام کام کرنے کے لیے انتظار کرتا تھا: اسے تیز کریں۔ جس لمحے آپ نے زیادہ فیس منظور کی، آپ نے اپنے اپنے ٹرانزیکشن کے بجائے حملہ آور کا ٹرانزیکشن دستخط کر دیا۔ اکتوبر 24 تک فکس لاگو ہونے سے پہلے کم از کم ایک صارف نے فنڈز کھو دیے۔ یہاں یہ بتایا گیا ہے کہ کیا ہوا اور اس سے آپ کو کیوں واقف ہونا چاہیے، چاہے آپ نے کبھی الیکٹرم استعمال نہیں کیا ہو۔

الیکٹروم جیسے لائٹ والٹس پوری بلاک چین ڈاؤن لوڈ نہیں کرتے۔ وہ اپنی لین دین کی تاریخ اور ادائیگیوں کو براڈکاسٹ کرنے کے لیے باہری سرورز سے درخواست کرتے ہیں۔ تصدیق شدہ لین دین کو بلاک چین کے خلاف چیک کیا جاتا ہے، لیکن منتظر لین دین صرف اسی مرکزی سرور پر بھروسہ کیا جاتا تھا جس سے والٹ منسلک تھا۔

وہ فاصلہ کھولنے کا موقع تھا۔ ان میں سے ایک سرور چلانے والا حملہ آور، نیٹ ورک تک پہنچنے سے پہلے ایک باہر جانے والی ادائیگی کو انٹرcept کر سکتا تھا، اور والٹ کو ایک جعلی نسخہ فراہم کر سکتا تھا۔ جعلی ادائیگی نے آپ کے کوائنز کو ایک ایسے پتے پر خرچ کر دیا جس پر حملہ آور کا کنٹرول تھا، کم از کم ایک صورت میں ایک ہی آخری چار حروف والے حقیقی وصول کنندہ کے ساتھ، اور اس میں اتنا کم فیس تھا کہ یہ کبھی تصدیق نہیں ہوتا۔ والٹ نے اسے ایک قانونی منتظر ادائیگی کے طور پر دکھایا۔

پھر جال پھیلا گیا۔ ایک گڑبڑ والی لین دین معمولی بٹ کوائن فیچر، فی کو بڑھانے کے لیے Replace-by-Fee کی طرف صارفین کو مائل کرتی ہے۔ ایلیکٹرم میں، فی بڑھانا تاریخ میں دکھائی دینے والی لین دین کو دوبارہ دستخط کرنے کا مطلب تھا۔ چونکہ وہ لین دین حملہ آور کی تھی، اس لیے دستخط درست تھے، کرنسی منتقل ہو گئی، اور چوری کو ایک عام فی میں اضافہ جیسا دکھایا گیا۔

الیکٹروم نے 24 اکتوبر کو اس مسئلے کا اعلان کیا اور تصدیق کی کہ کچھ سرورز اس کا فائدہ اٹھا رہے تھے۔ پہلا رپورٹ 11 اکتوبر کو ایک صارف سے آیا جو دو ہارڈ ویئر والٹس کے ساتھ دو میں سے تین ملٹی سگنیچر سیٹ اپ چلا رہا تھا، جس نے تاریخ میں ایک غیر معمولی آؤٹگوئنگ ٹرانزیکشن دیکھی لیکن اسے فنڈز کا نقصان نہیں ہوا۔ دوسرا صارف اتنے خوش قسمت نہیں تھا۔ ڈویلپرز نے چوری ہونے والی رقم کا اعلان نہیں کیا اور ملوث سرورز کا نام بھی نہیں لیا۔

جس صارفین نے صرف اپنے اپنے سرور یا ایسے سرور سے جڑا جس پر انہیں بھروسہ ہے، وہ کبھی متاثر نہیں ہوئے۔ 4.8.3 سے نیچے کا ورژن چلانے والے باقی سب کو تب تک خطرہ ہے جب تک کہ والٹ کسی بدمعاش سرور پر نہیں لگ جاتا۔

ویژن 4.8.3 میں آپ کے اپنے والٹ سے کوئنز خرچ کرنے والی غیر تصدیق شدہ لین دین کے لیے دستخط کی جانچ شامل کی گئی ہے۔ اب سرور آپ کی تاریخ میں ایک غلط لین دین کو چھپا کر اسے حقیقی کے طور پر پیش نہیں کر سکتا۔ اپڈیٹ صرف electrum.org سے ہی ڈاؤن لوڈ کریں، کبھی بھی والٹ میں ظاہر ہونے والے پاپ اپ یا پیغام میں دیے گئے لنک سے نہیں۔ 2019 میں، جب بدنیتی والے سرورز نے 4.6 ملین ڈالر سے زائد کا خسارہ کیا تھا، اسی قسم کے جعلی اپڈیٹ کے پرومت کے ذریعے الیکٹروم صارفین متاثر ہوئے تھے۔

یہ درس صرف ایک والٹ تک محدود نہیں ہے۔ کوئی بھی سافٹ ویئر جو غیر تصدیق شدہ ڈیٹا کے لیے تیسرے فریق پر انحصار کرتا ہے، اسی کمزور نکتہ رکھتا ہے، اس لیے کچھ عادات برقرار رکھنا قابلِ قدر ہیں:

• ہر فی بمپ کو ایک نئی لین دین کے طور پر سمجھیں۔ دستخط کی اسکرین پر مکمل وصول کرنے والے پتے اور رقم کی جانچ کریں، صرف آخری کچھ حروف نہیں۔
• ڈیوائس پر تصدیق کریں۔ اگر آپ ایک ہارڈویئر والٹ استعمال کرتے ہیں، تو اس کے ڈسپلے پر مقصد کی تصدیق کریں۔ متھر سگ صارف نے اس حملے کو بالکل اس لیے پکڑا کیونکہ ہارڈویئر نے کچھ مختلف دکھایا۔
• اپنا نوڈ یا اپنے کنٹرول میں سرور استعمال کریں۔ یہ حملہ صرف تب کام کرتا ہے جب کوئی اجنبی اپنے والٹ کو اس کی تاریخ فراہم کرے۔
• والٹ سافٹ ویئر کو تازہ رکھیں اور جب بھی ممکن ہو تو ڈاؤن لوڈ کو ڈویلپر کے سائنچر کے ساتھ تصدیق کریں۔

خود کی مالکیت آپ کو سیکورٹی پر کنٹرول دیتی ہے، اور اس میں تھکا دینے والے مراحل بھی شامل ہیں۔ ایک تیس سیکنڈ کا پتہ چیک کرنا ابھی تک کرپٹو میں سب سے سستا بیمہ ہے۔ آپ اپنے قیمت کے صفحے پر موجودہ بٹ کوائن قیمت اور وسیع مارکیٹ کا جائزہ لے سکتے ہیں۔