Electrum đã vá lỗ hổng bảo mật, hacker đã đánh cắp bitcoin
Electrum đã phát hành phiên bản 4.8.3 để vá lỗ hổng bảo mật nghiêm trọng trong ví Bitcoin. Các nhà phát triển xác nhận rằng các máy chủ độc hại đã khai thác lỗ hổng này để chuyển hướng thanh toán của người dùng, và ít nhất đã xảy ra một vụ đánh cắp tài sản.
- Electrum đã phát hành phiên bản 4.8.3 sau khi xác nhận máy chủ độc hại đang khai thác lỗ hổng nghiêm trọng.
- Kẻ tấn công sẽ thay thế các giao dịch bitcoin đang chờ xử lý bằng các giao dịch gian lận, và người dùng có thể nhầm tưởng giao dịch đang bình thường và cấp quyền khi tăng phí giao dịch.
- Hai người dùng đã báo cáo sự việc liên quan, trong đó một người đã mất bitcoin do tăng phí giao dịch.
- Lỗ hổng này ảnh hưởng đến tất cả các phiên bản Electrum trước 4.8.3; các nhà phát triển chưa tiết lộ tổng số tiền thiệt hại.
- Bản vá bảo mật sẽ xác minh chữ ký giao dịch được khởi tạo bởi các đồng tiền do ví kiểm soát nhưng chưa được xác nhận.
The security advisory issued by the wallet on October 24 stated that attackers exploited how Electrum handles unconfirmed Bitcoin transactions to replace legitimate outgoing payments with fraudulent ones; users may inadvertently authorize these transactions when increasing transaction fees.
Electrum là một ví Bitcoin nhẹ, kết nối với máy chủ bên ngoài để lấy lịch sử giao dịch, phát sóng giao dịch và các thông tin mạng khác. Khác với nút Bitcoin đầy đủ, phần mềm này không tự xử lý từng bước của hoạt động blockchain.
Tài liệu của nó giải thích rằng Electrum xác thực các giao dịch đã xác nhận thông qua Xác thực thanh toán đơn giản (Simple Payment Verification), nhưng trong quá khứ, nó luôn tin tưởng máy chủ chính khi hiển thị các giao dịch đang chờ xử lý.
Kẻ tấn công đã khai thác sự khác biệt này, chặn các giao dịch được gửi qua máy chủ độc hại để thay đổi chúng trước khi chúng đến mạng Bitcoin.
Sau khi ngăn chặn việc phát sóng giao dịch hợp lệ, kẻ tấn công có thể gửi một giao dịch thay thế đến ví, thay đổi địa chỉ nhận thành địa chỉ do kẻ tấn công kiểm soát.
Mặc dù các giao dịch thay thế có chữ ký không hợp lệ, nhưng các phiên bản Electrum có lỗ hổng không kiểm tra các chữ ký này trước khi hiển thị chúng trong lịch sử ví.
Khi người dùng cố gắng tăng phí giao dịch thông qua Replace-by-Fee (RBF), sự lừa đảo này trở nên nguy hiểm. RBF là một tính năng của Bitcoin cho phép một giao dịch chưa được xác nhận bị thay thế bởi một giao dịch khác có phí cao hơn.
Sau khi người dùng đồng ý điều chỉnh phí giao dịch, họ có thể vô tình ký một giao dịch hợp lệ chuyển tiền cho kẻ tấn công.
Electrum xác nhận các cuộc tấn công thực tế và gây tổn thất Bitcoin
Các nhà phát triển đã tiết lộ hai sự kiện được báo cáo riêng tư, cho thấy lỗ hổng này đã không còn chỉ là cuộc tấn công mang tính lý thuyết.
Vào ngày 11 tháng 10, một người dùng có tên dannydeezy báo cáo rằng một giao dịch được hiển thị trong lịch sử Electrum không khớp với khoản thanh toán ban đầu được gửi.
Ngày 18 tháng 10, một người dùng khác là Raju-K12 đã mất tiền khi cố gắng tăng phí giao dịch và đã liên hệ với nhà phát triển.
Theo thông báo, cả hai sự kiện đều liên quan đến các địa chỉ nhận tiền bị kẻ tấn công kiểm soát, và những địa chỉ này được thiết kế để khớp với bốn ký tự cuối của địa chỉ Bitcoin mục tiêu.
Trong trường hợp thứ hai, phí giao dịch gian lận bằng không, các nhà phát triển nghi ngờ đây là thủ đoạn nhằm lừa nạn nhân thực hiện thao tác tăng phí.
Ca báo đầu tiên liên quan đến ví đa chữ ký 2-of-3 sử dụng hai thiết bị Trezor. Các giao dịch hợp lệ bao gồm 31 đầu vào và 1 đầu ra.
Các nhà điều tra phát hiện tất cả 62 chữ ký đều hợp lệ cho khoản thanh toán ban đầu, nhưng không hợp lệ cho giao dịch đã bị thay thế. Giao dịch giả mạo đã chuyển gần như toàn bộ số bitcoin đến một địa chỉ tương tự, chỉ trả lại một phần nhỏ cho ví.
Giao dịch gốc vẫn còn hiệu lực, nhưng chưa bao giờ được đưa vào mạng Bitcoin công khai.
Electrum thừa nhận rằng trong thực tế, một số máy chủ đang thực hiện cuộc tấn công này. Tuy nhiên, các nhà phát triển chưa tiết lộ số lượng máy chủ tham gia vào cuộc tấn công, số tiền bị đánh cắp, hoặc liệu đã xác định được thêm bất kỳ nạn nhân nào khác hay chưa.
Electrum 4.8.3 ngăn chặn giao dịch tăng phí một cách độc hại
Sửa lỗi này đã được tích hợp vào phiên bản 4.8.3 vào ngày 23 tháng 10 và sẵn sàng tải file nhị phân vào ngày 24 tháng 10.
Qua việc gửi 90fe308, các nhà phát triển đã giới thiệu xác minh chữ ký cho các giao dịch chưa xác nhận có đầu vào được kiểm soát bởi ví người dùng.
Electrum hiện sẽ kiểm tra chữ ký trước khi thêm các giao dịch này vào lịch sử cục bộ, ngăn chặn các khoản thanh toán ngoại vi gian lận được mô tả trong thông báo được hiển thị như các giao dịch hợp lệ.
Cập nhật này không biến Electrum thành một nút Bitcoin đầy đủ. Các nhà phát triển cho biết các giao dịch chưa xác nhận đầu vào vẫn không nằm trong phạm vi kiểm tra chữ ký mới, và các khoản thanh toán đã xác nhận vẫn tiếp tục sử dụng quy trình xác thực hiện có.
Người dùng chạy phiên bản trước 4.8.3 được khuyến nghị tải bản cập nhật từ trang web chính thức của Electrum.
Đối với người dùng không thể cập nhật tạm thời, các nhà phát triển khuyên nên kiểm tra kỹ địa chỉ nhận và số tiền đầy đủ trước khi ký giao dịch, bao gồm cả giao dịch thay thế phí.
The announcement states that only users connected to trusted servers (including their own servers) are not affected by this specific malicious server attack.
Các cuộc tấn công trước đây vào Electrum cho thấy rủi ro máy chủ liên tục xuất hiện
Sự kiện này tiếp nối các nỗ lực tấn công trước đây nhắm vào việc Electrum phụ thuộc vào các máy chủ bên ngoài.
Tháng 12 năm 2018, crypto.news đưa tin rằng các máy chủ độc hại đã hiển thị thông báo cập nhật phần mềm giả mạo cho người dùng. Báo cáo lúc đó ước tính tổn thất gần 1 triệu đô la Mỹ.
Một đợt tấn công máy chủ độc hại khác vào năm 2019 đã lợi dụng các bản cập nhật ví giả và các hoạt động từ chối dịch vụ để dẫn người dùng đến phần mềm bị xâm nhập.
Các cuộc tấn công này dựa vào các bản tải về gian lận, trong khi lỗ hổng mới được vá này lại thao túng thông tin giao dịch đang chờ xử lý bên trong một ví hợp lệ.
Một bài phỏng vấn về máy chủ Electrum được công bố năm 2020, thảo luận về các sự đánh đổi của ví nhẹ, bao gồm sự phụ thuộc vào cơ sở hạ tầng bên ngoài về lịch sử giao dịch.
Tài liệu chính thức của Electrum cho biết, client thường kết nối với khoảng 10 máy chủ, nhưng sẽ chọn một máy chủ chính để lấy lịch sử ví và phát sóng giao dịch. Tài liệu cũng nêu rằng máy chủ chính này được tin tưởng trong việc xử lý các giao dịch chưa xác nhận.