КриптоЛампа
Electrum исправил уязвимость, позволявшую подменять биткоин-транзакции
Уязвимость в версиях Electrum до 4.8.3 позволяла подменять неподтвержденные переводы при попытке ускорить их через RBF. Разработчики подтвердили один случай потери биткоинов.
Electrum выпустил версию 4.8.3 с исправлением уязвимости GHSA-6jp4-8v48-cc5v. Проблема затрагивала все предыдущие версии кошелька; обновление вышло 24 октября. Разработчики сообщили, что злоумышленники уже применяли эту схему и как минимум один пользователь потерял биткоины.
Атака использовала зависимость Electrum от внешних серверов, предоставляющих сведения о транзакциях. Злоумышленник, контролировавший сервер, мог не передать исходящий перевод в сеть, а показать кошельку поддельную неподтвержденную операцию с адресом атакующего. Затем пользователя побуждали ускорить якобы зависший платеж через Replace-by-Fee (RBF).
При попытке увеличить комиссию кошелек мог подписать действительный перевод на подставленный адрес. Для маскировки злоумышленники подбирали адреса с теми же последними четырьмя символами, что и у настоящего получателя. Сама подмена не приводила к потере средств: пользователь должен был подписать измененную операцию. Доступ к приватным ключам для атаки не требовался.
Первое сообщение об уязвимости команда получила 11 октября: пользователь обнаружил в истории кошелька перевод на неизвестный адрес, но о потере средств не сообщил. 18 октября поступило обращение от пользователя, который увеличил комиссию подмененной транзакции и лишился биткоинов. Сумму ущерба и общий масштаб атак разработчики не раскрыли.
Исправление проверяет подписи входов неподтвержденных транзакций, расходующих средства пользователя, но не проверяет все сведения, поступающие от сервера: например, входящие транзакции по-прежнему не проверяются. Разработчики призвали установить Electrum 4.8.3 и тщательно сверять адреса и суммы перед подписанием. Пользователи, подключавшиеся только к доверенным серверам, например собственным, описанной атаке не подвергались.
Разобраться в теме новости
Как проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию ОБЪЯСНЯЕМ
Как защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор ОБЪЯСНЯЕМЧто такое биткоин и как работает сеть Bitcoin
Чем Bitcoin отличается от банковского счёта, как подтверждаются переводы и почему новости о цене не описывают всю работу сети.
Читать разбор