Aktualizacja Electrum po luce w portfelu bitcoin z fałszywymi serwerami
Electrum wydał wersję 4.8.3 po luce wykorzystującej złośliwe serwery. Błąd dotyczył niepotwierdzonych transakcji bitcoin i doprowadził już do co najmniej jednej kradzieży.
Najważniejsze informacje
- Electrum załatał lukę bezpieczeństwa, która pozwalała złośliwym serwerom wprowadzać użytkowników w błąd podczas przyspieszania płatności Bitcoin.
- Według deweloperów znany jest co najmniej jeden przypadek, w którym środki zostały skradzione, zanim błąd został naprawiony.
- Wersja 4.8.3 dodatkowo sprawdza teraz podpisy niepotwierdzonych transakcji; użytkownikom zaleca się aktualizację oraz kontrolę adresów i kwot.
Electrum załatał lukę bezpieczeństwa w swoim bitcoinie wallet po tym, jak atakujący mogli wprowadzać użytkowników w błąd za pośrednictwem złośliwych serwerów podczas przyspieszania płatności. Według deweloperów znany jest przynajmniej jeden przypadek, w którym środki zostały skradzione, zanim błąd został naprawiony.
Jak działał atak
Electrum jest jednym z najstarszych software walletów dla Bitcoina i opiera się na zewnętrznych serwerach w zakresie historii transakcji oraz wysyłania płatności. To właśnie ta konstrukcja umożliwiła atak: wallet zbyt mocno ufał tym serwerom przy wyświetlaniu jeszcze niepotwierdzonych transakcji.
Atakujący, który kontrolował taki serwer, mógł przechwycić płatność, zanim pojawiła się ona w sieci Bitcoin. W walletcie była ona wtedy zastępowana fałszywą transakcją, która wysyłała coiny na adres atakującego. Ponieważ Electrum nie sprawdzał podpisów tych niedokończonych transakcji, fałszerstwo mogło długo pozostać niezauważone.
Ryzyko przy wyższych opłatach
Niebezpieczeństwo rosło, gdy użytkownicy chcieli przyspieszyć swoją płatność. Bitcoin obsługuje Replace-by-Fee, dzięki czemu niepotwierdzoną transakcję można zastąpić wersją z wyższą opłatą. Jeśli ktoś w Electrum wybrał tę opcję, wallet mógł mimo to podpisać oszukańczą transakcję i wysłać coiny do atakującego.
W jednym zgłoszonym przypadku fałszywa transakcja nie miała nawet opłaty, przez co wyglądała na zablokowaną. Atakujący utrudniali też wykrycie oszustwa, wybierając adresy odbiorcze, których ostatnie cztery znaki zgadzały się z prawdziwym adresem.
Co użytkownicy powinni teraz wiedzieć
Pierwsze zgłoszenie wpłynęło 11 października i dotyczyło multisig walleta z dwoma hardware walletami Trezor. Użytkownik sprawdził prawdziwą płatność na obu urządzeniach, ale później zobaczył inną transakcję wychodzącą w historii walleta. Drugi użytkownik zgłosił 18 października, że po podniesieniu opłaty stracił środki.
Electrum opublikował 24 października wersję 4.8.3 z dodatkowymi kontrolami podpisów niepotwierdzonych transakcji, które przenoszą coiny z własnego walleta. Starsze wersje pozostają podatne na atak, dopóki łączą się ze złośliwymi serwerami. Deweloperzy zalecają użytkownikom aktualizację oraz zawsze sprawdzanie adresów odbiorczych i kwot przed podpisaniem czegokolwiek. Użytkownicy, którzy korzystali wyłącznie z serwerów, którym ufają, na przykład z własnego serwera, nie byli narażeni na ten atak.
