الیکترم والٹ نے سیکیورٹی خامی کو درست کر لیا، ہیکرز نے بٹ کوائن چوری کر لیے ہیں
الیکترم نے 4.8.3 کا اصدار جاری کیا ہے، جس میں ایک اہم بٹ کوائن والٹ کی خامی کو درست کیا گیا ہے۔ ڈویلپرز نے تصدیق کی ہے کہ بدمعاش سرورز نے اس خامی کا استعمال کرتے ہوئے صارفین کے ادائیگی کو دوبارہ ہدایت کیا ہے، اور کم از کم ایک واقعہ میں فنڈز چوری ہوئے ہیں۔
- الیکترم نے مخرب سرورز کے ایک اہم خامی کا استعمال کرنے کی تصدیق کے بعد ورژن 4.8.3 جاری کیا۔
- حملہ آور ویٹ کر رہے بٹ کوائن ادائیگیوں کو جعلی لین دین سے تبدیل کر دیتے ہیں، اور صارفین جب فیس بڑھاتے ہیں تو شاید سمجھ لیں کہ لین دین درست ہے اور اسے منظور کر دیں۔
- دو صارفین نے متعلقہ واقعہ کی اطلاع دی، جن میں سے ایک صارف نے ٹریڈنگ فیس بڑھانے کی وجہ سے بٹ کوائن کھو دیا۔
- یہ خامی 4.8.3 سے پہلے کے تمام الیکٹروم ورژنز کو متاثر کرتی ہے؛ ڈویلپرز نے اب تک کل نقصان کی رقم کا اعلان نہیں کیا ہے۔
- سیکیورٹی پیچ وہ ٹرانزیکشن سائنز کی تصدیق کرے گا جو والٹ کے ذریعہ کنٹرول کیے جانے والے کرنسیز سے شروع ہوئے ہیں لیکن ابھی تک تصدیق نہیں ہوئے ہیں۔
اس پورٹ فولیو کی 24 اکتوبر کو جاری کردہ سیکیورٹی ایلنگ کے مطابق، حملہ آوروں نے الیکٹروم کے طریقہ کار کا استعمال کرتے ہوئے، تصدیق شدہ بٹ کوائن ٹرانزیکشنز کو جعلی ٹرانزیکشنز سے تبدیل کر دیا؛ صارفین جب ٹرانزیکشن فیس بڑھاتے ہیں، تو ان کے پاس ان ٹرانزیکشنز کو منظور کرنے کا غلط فہمی سے امکان ہوتا ہے۔
الیکترم ایک ہلکا پھلکا بٹ کوائن والٹ ہے جو ٹرانزیکشن کی تاریخ، ٹرانزیکشنز کو براڈکاسٹ کرنے اور دیگر نیٹ ورک معلومات حاصل کرنے کے لیے باہری سرورز سے جُڑتا ہے۔ مکمل بٹ کوائن نوڈ کے برعکس، یہ سافٹ ویئر بلاکچین سرگرمیوں کے ہر ایک مرحلے کو الگ طور پر نہیں سنبھالتا۔
اس کے دستاویز میں واضح کیا گیا ہے کہ Electrum تصدیق شدہ لین دین کی تصدیق کے لیے سادہ ادائیگی کی تصدیق (Simple Payment Verification) استعمال کرتا ہے، لیکن معاملہ میں موجود لین دین کو ظاہر کرتے وقت، تاریخی طور پر اس نے اپنے مرکزی سرور پر بھروسہ کیا ہے۔
حملہ آور نے اس فرق کا فائدہ اٹھایا اور برآمد کی گئی ٹرانزیکشنز کو مالی سرورز کے ذریعے روک کر، بٹ کوائن نیٹ ورک تک پہنچنے سے پہلے انہیں تبدیل کر دیا۔
قانونی ٹریڈ کے براڈکاسٹ کو روکنے کے بعد، حملہ آور ایک متبادل ٹریڈ بھیج سکتا ہے جس میں رقم وصول کرنے والا پتہ حملہ آور کے کنٹرول میں آ جائے۔
ہر ایلٹرنیٹو ٹرانزیکشن کے غلط دستخط ہونے کے باوجود، ایلیکٹرم کے زخمی ورژن ان دستخطوں کو جانچے بغیر انہیں واٹل ہسٹری میں دکھاتے ہیں۔
جب صارف Replace-by-Fee (RBF) کے ذریعے ٹرانزیکشن فیس بڑھانے کی کوشش کرتا ہے، تو یہ دھوکہ خطرناک ہو جاتا ہے۔ RBF بٹ کوائن کی ایک خصوصیت ہے جو ایک تصدیق نہ ہونے والی ادائیگی کو زیادہ فیس والی دوسری ٹرانزیکشن سے تبدیل کرنے کی اجازت دیتی ہے۔
جب صارف فیس ایڈجسٹمنٹ کو منظور کر لے، تو وہ غیر جانبدارانہ طور پر حملہ آور کو ادائیگی کرنے والی ایک معتبر ٹرانزیکشن پر دستخط کر سکتا ہے۔
الیکترم نے حقیقی دنیا کے حملوں کی تصدیق کی اور بٹ کوائن کی ضائع ہونے کا باعث بنایا
ڈویلپرز نے دو خفیہ رپورٹ کی گئی واقعات کا اعلان کیا، جس سے ثابت ہوتا ہے کہ یہ خامی صرف نظریہ کا مسئلہ نہیں رہ گئی۔
11 اکتوبر کو، ایک صارف جس کا نام dannydeezy ہے، نے رپورٹ کیا کہ Electrum کے تاریخی ریکارڈ میں ظاہر ہونے والی ایک ٹرانزیکشن اصل ادائیگی سے مطابقت نہیں رکھتی۔
18 اکتوبر کو، ایک اور صارف راجو-کیو ٹو ٹریڈنگ فیس بڑھانے کی کوشش میں فنڈز کھو دیے اور ڈویلپرز سے رابطہ کیا۔
اعلان کے مطابق، دونوں واقعات میں حملہ آور کے کنٹرول میں والٹس کا استعمال ہوا، جن کا ڈیزائن ایسے تھا کہ وہ مقصد والٹس کے بٹ کوائن ایڈریس کے آخری چار حروف سے ملتے جلتے ہوں۔
دوسرے معاملے میں، جعلی ٹریڈ کے لیے فیس صفر تھی، جس کے بارے میں ڈویلپر کو شک ہے کہ یہ قربانیوں کو فیس بڑھانے کے لیے راغب کرنے کے لیے تھا۔
پہلا رپورٹڈ واقعہ ایک 2-of-3 متعدد دستخط والے والٹ سے متعلق ہے جس میں دو Trezor ڈیوائسز استعمال ہوئیں۔ اس کے قانونی لین دین میں 31 ان پٹس اور ایک آؤٹ پٹ شامل ہیں۔
تحقیق کرنے والوں نے پایا کہ اصل ادائیگی کے لیے تمام 62 دستخط درست تھے، لیکن متبادل ٹرانزیکشن کے لیے غلط تھے۔ جعلی ٹرانزیکشن نے تقریباً تمام بٹ کوائن ایک مشابہ پتے پر منتقل کر دیے، صرف ایک چھوٹا سا حصہ واپس ویلٹ کو بھیج دیا۔
اصلی ٹریڈ اب بھی درست ہے، لیکن کبھی بٹ کوائن نیٹ ورک پر نہیں آیا۔
الیکترم نے تسلیم کیا ہے کہ واقعی میں کچھ سرورز اس حملے کو لاگو کر رہے ہیں۔ تاہم، ڈویلپرز نے حملے میں شامل سرورز کی تعداد، چوری ہونے والی رقم، یا کیا مزید متاثرین کی شناخت کی گئی ہے، اس بات کا افشا نہیں کیا۔
الیکترم 4.8.3 برے مقاصد کے لیے ٹرینزیکشن فیس بڑھانے کو روکتا ہے
یہ درستگی 23 اکتوبر کو ورژن 4.8.3 میں شامل کر دی گئی اور 24 اکتوبر کو ڈاؤن لوڈ کے لیے بائنری فائلیں دستیاب ہو گئیں۔
90fe308 جمع کرانے کے ذریعے، ڈویلپرز نے صارف کی والٹ کے ذریعہ کنٹرول کیے جانے والے تصدیق نہ ہوئے ٹرانزیکشنز کے لیے دستخط کی تصدیق متعارف کرائی۔
الیکترم اب اس بات کی جانچ کرے گا کہ کیا یہ ٹرانزیکشنز کے دستخط درست ہیں، جس سے اشتہار میں بیان کی گئی دھوکہ دہی والی باہر نکلنے والی ادائیگیاں قانونی ٹرانزیکشن کے طور پر نہیں دکھائی جائیں گی۔
یہ اپڈیٹ Electrum کو مکمل بٹ کوائن نوڈ بنانے کا باعث نہیں ہوگا۔ ڈویلپرز نے واضح کیا ہے کہ آنے والی تصدیق شدہ نہیں ہونے والی لین دین کو نئے دستخط چیک میں شامل نہیں کیا گیا ہے، اور تصدیق شدہ ادائیگیاں اب بھی موجودہ تصدیق عمل کا استعمال کرتی ہیں۔
4.8.3 سے پہلے کے ورژن کا استعمال کرنے والوں کو Electrum کی آفیشل ویب سائٹ سے اپ ڈیٹ ڈاؤن لوڈ کرنے کی تجویز کی گئی ہے۔
جس صارفین کے لیے ابھی اپ گریڈ ممکن نہیں ہے، ڈویلپرز کی سفارش ہے کہ وہ ٹرانزیکشن پر دستخط کرنے سے پہلے مکمل وصول کنندہ ایڈریس اور رقم، جس میں فیس ریپلیسمنٹ ٹرانزیکشن بھی شامل ہیں، کی تصدیق کریں۔
اعلان کے مطابق، صرف اعتماد کردہ سرورز (شامل کرکے اپنا سرور) سے جڑے ہوئے صارفین اس خاص بریکٹ سرور حملے سے متاثر نہیں ہوں گے۔
الیکترم کے گذشتہ حملوں نے سرور کے خطرات کی دوبارہ ظہور کو ظاہر کیا ہے
یہ واقعہ الیکٹروم کے باہری سرورز پر انحصار کے خلاف پہلے کی گئی حملوں کی مسلسل کوشش ہے۔
دسمبر 2018 میں، crypto.news نے رپورٹ کیا کہ مضر سرورز صارفین کو جعلی سافٹ ویئر اپ ڈیٹ کی تفصیلات دکھا رہے تھے۔ اس وقت کی رپورٹ کے مطابق نقصان تقریباً 100 ڈالر کے قریب تھا۔
2019 کی دوسری بری سرور حملہ، جھوٹے والٹ اپڈیٹس اور ڈینیل آف سروس سرگرمیوں کا استعمال کرتے ہوئے صارفین کو متاثرہ سافٹ ویئر کی طرف لے گیا۔
یہ حملے جھوٹے ڈاؤنلوڈ پر انحصار کرتے ہیں، جبکہ اس نئے درست شدہ خرابی کو ایک اصلی والٹ کے اندر، معلق لین دین کی معلومات کو منapl کرنے کے لیے استعمال کیا جاتا ہے۔
الیکترم سرورز کے بارے میں 2020 میں شائع ہونے والی ایک انٹرویو میں، ہلکے پیکیج والے والٹس کے مفادات اور نقصانات پر بحث کی گئی، جس میں ٹرینزیکشن کے تاریخ کے لیے باہری بنیادی ڈھانچے پر انحصار کو بھی شamil کیا گیا۔
الیکترم کی اپنی دستاویز کے مطابق، اس کا کلائنٹ عام طور پر تقریباً 10 سرورز سے جُڑتا ہے، لیکن ویلٹ کی تاریخ حاصل کرنے اور ٹرانزیکشنز کو براڈکاسٹ کرنے کے لیے ایک بنیادی سرور منتخب کرتا ہے۔ دستاویز میں یہ بھی کہا گیا ہے کہ اس بنیادی سرور پر غیر تصدیق شدہ ٹرانزیکشنز کے حوالے سے بھروسہ کیا جاتا ہے۔