بٹ کوائن والٹ Electrum نے 24 اکتوبر کو ایک اعلیٰ شدت کی کمزوری کو درست کرنے کے لیے ورژن 4.8.3 جاری کیا، جس کی وجہ سے خراب سرورز بٹ کوائن ادائیگیوں کو حملہ آورین کی طرف ری ڈائریکٹ کر سکتے تھے۔ یہ کمزوری 4.8.3 سے پہلے کے ہر ورژن کو متاثر کرتی ہے۔ اس درستگی کو کوڈ ریپوزٹری میں 23 اکتوبر کو ٹیگ کیا گیا، اور اگلے دن اجرائی فائلیں دستیاب ہو گئیں۔
یہ حملہ الیکٹروم کی طرف سے تصدیق نہ ہونے والے لین دین کے معاملات کے دوران سرورز پر بھروسہ کرنے کا فائدہ اٹھاتا ہے۔ ایک متاثرہ سرور صارف کی اصل ادائیگی کو روک سکتا ہے اور ایک متصادم لین دین کو متبادل کے طور پر استعمال کر سکتا ہے جس میں حملہ آور کا مقامی پتہ اور صفر فیس شامل ہو۔ الیکٹروم پہلے سائنیچر کی جانچ کے بغیر والٹ کی تاریخ میں متبادل لین دین کو قانونی ظاہر کرتا تھا۔ صفر فیس کی وجہ سے ادائیگی کو جمود میں دکھایا جاتا ہے۔
ایک صارف جو ظاہری ادائیگی کے فیس کو بڑھاتا ہے، وہ ایک نیا، درست ٹرانزیکشن دستخط کرتا ہے اور اسے براہ راست کرتا ہے جس میں رقم حملہ آور کو بھیجی جاتی ہے۔ اصل ادائیگی کبھی نیٹ ورک تک نہیں پہنچتی، جس سے فیس بڑھائے گئے ٹرانزیکشن کو پہلا حقیقی براہ راست ٹرانزیکشن بن جاتا ہے۔ ایلیکٹرم ڈویلپر سومبر نائٹ، جنہوں نے مشورہ جاری کیا، نے کہا کہ حملہ آور وہ مقصد کا پتہ تخلیق کر سکتے ہیں جس کے آخری چار حروف مقصد پارٹی کے پتے کے آخری چار حروف کے مطابق ہوں۔ اس لیے صرف ان حروف کو چیک کرنے والے صارفین کو ظاہری مطابقت نظر آئے گی۔
مشورہ کہتا ہے کہ کچھ سرورز فعال طور پر حملہ کر رہے ہیں اور دو صارف رپورٹس کا حوالہ دیتا ہے۔ صارف جسے dannydeezy کہا جاتا ہے، نے 11 اکتوبر کو مشکوک سرور سرگرمی کی اولین رپورٹ دی۔ یہ دستکاری شدہ لین دین مقامی سرور پر رہا اور کوئی فنڈز ضائع نہیں ہوئے۔ دوسرے صارف، Raju-K12، نے 18 اکتوبر کو دستکاری شدہ لین دین پر فیس بڑھانے کے بعد فنڈز کھوئے۔
ورژن 4.8.3 والٹ کے متعلقہ ان پٹس پر کرپٹوگرافک دستخطوں کی جانچ کرتا ہے، جب تک کہ ایک غیر تصدیق شدہ ٹرانزیکشن کو مقامی تاریخ میں درج نہ کیا جائے۔ یہ پیچ سرور کو صارف کے اپنے پتےوں کے ساتھ ایک جعلی ٹرانزیکشن درج ہونے سے روکتا ہے جس کے دستخط درست نہ ہوں، جسے حملہ آور نہیں بنا سکتے۔ تاہم، الیکٹرم ابھی بھی آنے والی ٹرانزیکشنز کو قبول کرتا ہے بغیر دستخطوں کی جانچ کے جب تک کہ کوئی ان پٹ ریسیونگ والٹ سے تعلق نہ رکھتا ہو۔ سومبر نائٹ نے مشورے میں باقی خلا کو تسلیم کیا اور کہا کہ اس خلا کو دور کرنے کے لیے مزید کام درکار ہوگا۔
الیکٹرم کو 2018 میں شروع ہونے والی ایک مہم کا سامنا تھا جس میں مضر سرورز کا استعمال کرتے ہوئے جعلی اپ ڈیٹ نوٹیفکیشنز دکھائے گئے۔ 2020 تک، اس مہم نے الیکٹرم صارفین سے تقریباً 25 ملین امریکی ڈالر چوری کر لیے تھے۔ الیکٹرم کسی بھی شخص کو سرور چلانے کی اجازت دیتا ہے، جس سے اس قسم کے حملے ممکن ہو جاتے ہیں۔
وہ صارفین جو صرف اپنے خود کے سرور سے جڑے ہوئے ہیں، متاثر نہیں ہوں گے۔ جو صارفین فوری طور پر اپ ڈیٹ نہیں کر سکتے، وہ کسی بھی لین دین پر دستخط کرنے سے پہلے مقصد کے پتے اور رقوم کا دستی طور پر جائزہ لیں۔ Electrum 4.8.3 منصوبے کی ویب سائٹ اور GitHub پر دستیاب ہے۔