الیکٹروم نے بٹ کوائن چوری کی اجازت دینے والی سیکیورٹی خامی کو درست کر دیا ہے، بغیر پرائیویٹ کلید کے

الیکٹروم نے ایک سیکیورٹی خامی کو درست کر دیا جس کی وجہ سے حملہ آور صارفین کے ٹرانزیکشن فیس بڑھانے پر بٹ کوائن ادائیگیوں کو دوبارہ ہدایت کر سکتے تھے، بغیر پرائیویٹ کلوز کا چوری کیے۔ ڈویلپرز نے 24 اکتوبر کو اس کمزوری کا اعلان کیا اور تصدیق کی کہ مخلص سرورز نے اس خامی کا استعمال کیا ہے۔ ڈویلپرز نے تصدیق کی کہ کم از کم ایک صارف نے غیر جانبدارانہ طور پر ایک جعلی ٹرانزیکشن منظور کر لی اور بٹ کوائن کھو دیا۔ یہ اعلیٰ شدت والی خامی 4.8.3 سے پہلے کے ورژنز کو متاثر کرتی ہے۔

یہ اطلاع 11 اکتوبر اور 18 اکتوبر کو درج کیے گئے شکایات کے بعد سامنے آئی۔ پہلا شکایت کرنے والا نے ادائیگی بھیجنے کے بعد اپنے والٹ میں ایک ناپرہندا لین دین دیکھا۔ دوسرا شکایت کرنے والا ایک معلق ٹرانسفر کو تیز کرنے کی کوشش میں فنڈز کھو دیے۔ دونوں واقعات میں حملہ آوروں نے بٹ کوائن ایڈریسز بنائے جن کے آخری چار حروف مقصد کے ایڈریسز کے ساتھ مطابقت رکھتے تھے۔ یہ شبہہ صرف ایڈریس کا حصہ چیک کرنے والے صارفین کو دھوکہ دے سکتا ہے۔

یہ کمزوری الیکٹروم کی غیر تصدیق شدہ لین دین کے بارے میں باہری سرورز پر انحصار کا استعمال کرتی ہے۔ ایک خراب سرور صارف کے براڈکاسٹ کیے گئے ادائیگی کو نیٹ ورک تک پہنچنے سے روک سکتا ہے اور ایک متنازعہ لین دین فراہم کر سکتا ہے جو رقم کو ایک حملہ آور کنٹرول کردہ پتے کی طرف ہدایت کرتا ہے۔ متبادل لین دین ابتدائی طور پر غلط دستخط رکھتا ہے اور اس لیے ایک درست ادائیگی کے طور پر پروسیس نہیں ہو سکتا۔ تاہم، کمزور الیکٹروم کلائنٹس نے دستخطوں کی جانچ کے بغیر متبادل لین دین کو غیر تصدیق شدہ لین دین کی تاریخ میں ظاہر کیا۔ اس طرح اصل ادائیگی اس نظارے سے غائب ہو جاتی ہے، جبکہ جعلی ادائیگی تصدیق کا انتظار کر رہی لگتی ہے۔

حملہ آور پھر بٹ کوائن کی "Replace-by-Fee" سہولت کا غلط استعمال کر سکتے ہیں، جو صارفین کو فیس بڑھا کر مائنز کو تاخیری لین دین کی تصدیق کے لیے راغب کرنے کی اجازت دیتی ہے۔ اگر صارف جعلی لین دین کی فیس کو دستی طور پر بڑھاتا ہے تو الیکٹروم نئے دستخط بناتا ہے جو متبادل ادائیگی کی تفصیلات کو منظور کرتے ہیں۔ نئی منظوری حملہ آور کی طرف سے ہدایت کی گئی ادائیگی کو تصدیق دیتی ہے اور صارف کے پرائیویٹ کلیدز کو فاش کیے بغیر چوری کو ممکن بناتی ہے۔ رپورٹس کے مطابق، 18 اکتوبر کے واقعہ میں حملہ آوروں نے جعلی لین دین کے لیے صفر فیس مقرر کی تھی، جس سے شکایت کرنے والے کو فیس بڑھانے کا ارادہ ہو سکتا ہے۔ یہ حملہ اعتماد نہ کرنے والے سرور سے لین دین کی تفصیلات قبول کرنے کے خطرات کو ظاہر کرتا ہے جب تک کہ مناسب جانچ نہ ہو۔

جدید ترین الیکٹروم ریلیز، مقامی تاریخ میں تصدیق نہ ہوئے ٹرانزیکشنز شامل کرنے سے پہلے والٹ کے مالکانہ ان پٹس پر دستخط کی جانچ کرتی ہے۔ یہ جانچ رپورٹ کیے گئے تبدیلی کے طریقے کو فی ایڈجسٹمنٹ تک جانے سے روکتی ہے۔ ڈویلپرز نے 23 اکتوبر کو ورژن 4.8.3 کو ٹیگ کیا۔ ڈویلپرز نے 24 اکتوبر کو عوامی سیکورٹی ڈسکلوزر کے ساتھ اپ ڈیٹ جاری کیا۔

ڈویلپرز نے صارفین کو ایلیکٹروم کی سرکاری ویب سائٹ کے ذریعے پیچ حاصل کرنے کی تجویز دی۔ ڈویلپرز نے صارفین کو ہر بار ٹرانزیکشن دستخط کرتے وقت مکمل وصول کنندہ پتے اور ادائیگی کی رقم چیک کرنے کی بھی ترغیب دی۔ اس مشورے میں کہا گیا ہے کہ صرف بھروسہ مند سرورز، جن میں ذاتی طور پر چلائے جانے والے سرورز بھی شامل ہیں، استعمال کرنے والے صارفین اس حملے کے لیے متاثر نہیں ہوتے۔ پیچ ہر آنے والی ٹرانزیکشن کے لیے دستخطوں کی جانچ نہیں کرتا۔

الیکٹرم نے چوری ہونے والی رقم کا افشا نہیں کیا۔ الیکٹرم کے مینٹینر نے تصدیق کی کہ کچھ سرورز فعال طور پر حملہ کر رہے تھے۔ متاثرہ والٹس کی تعداد اور کل چوری ہونے والی رقم اب تک حل نہیں ہوئی ہے۔