КриптоЛампа
Electrum 4.8.3 устраняет уязвимость, позволявшую подменять платежи
Вредоносные серверы Electrum могли подменять неподтверждённые платежи и побуждать пользователей подписать перевод биткойнов. Разработчики выпустили исправление в версии 4.8.3.
Electrum выпустил версию 4.8.3, закрывающую уязвимость высокой степени опасности в более ранних версиях кошелька. Разработчики сообщили, что вредоносные серверы использовали её для подмены платежей; один пользователь подтвердил потерю средств после одобрения повышения комиссии.
Старые версии Electrum могли принимать некоторые неподтверждённые транзакции без проверки подписей. Сервер злоумышленника мог задержать настоящий платёж и показать вместо него транзакцию с недействительными подписями, направлявшую биткойны на контролируемый им адрес.
При попытке увеличить комиссию через Replace-By-Fee (RBF) пользователь мог подписать подменённый перевод. Для маскировки атаки адрес получателя подбирали так, чтобы его последние четыре символа совпадали с адресом предполагаемого получателя.
О проблеме разработчикам сообщили 11 и 18 октября. Первое сообщение описывало подмену транзакции, второе — потерю средств после подтверждения повышения комиссии. В версии 4.8.3 кошелёк проверяет подписи неподтверждённых транзакций, расходующих принадлежащие ему монеты, и отклоняет транзакции с недействительными подписями.
Пользователям версий старше 4.8.3 рекомендовано обновить кошелёк с electrum.org и проверить криптографическую подпись загрузки. Эта конкретная атака не затрагивает пользователей, подключённых исключительно к доверенным самостоятельно размещённым серверам Electrum.
Разобраться в теме новости
Как купить биткоин за рубли и вывести BTC на кошелёк
Порядок первой покупки Bitcoin: как выбрать способ оплаты, купить часть BTC, проверить торговую пару и вывести монеты в основную сеть на личный адрес.
Открыть инструкцию ПОШАГОВО
Как оплатить Lightning-инвойс и проверить статус платежа
Что проверить в Lightning-инвойсе: получателя, сумму, срок действия и состояние оплаты. Как действовать при истёкшем запросе или неопределённом результате.
Открыть инструкцию ПОШАГОВОКак проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию