КриптоЛампа
Electrum исправил уязвимость, позволявшую подменять биткоин-транзакции
Уязвимость в версиях Electrum до 4.8.3 позволяла подменять неподтвержденные переводы при попытке ускорить их через RBF. Разработчики подтвердили один случай потери биткоинов.
Electrum выпустил версию 4.8.3 с исправлением уязвимости GHSA-6jp4-8v48-cc5v. Проблема затрагивала все предыдущие версии кошелька; обновление вышло 24 октября. Разработчики сообщили, что злоумышленники уже применяли эту схему и как минимум один пользователь потерял биткоины.
Атака использовала зависимость Electrum от внешних серверов, предоставляющих сведения о транзакциях. Злоумышленник, контролировавший сервер, мог не передать исходящий перевод в сеть, а показать кошельку поддельную неподтвержденную операцию с адресом атакующего. Затем пользователя побуждали ускорить якобы зависший платеж через Replace-by-Fee (RBF).
При попытке увеличить комиссию кошелек мог подписать действительный перевод на подставленный адрес. Для маскировки злоумышленники подбирали адреса с теми же последними четырьмя символами, что и у настоящего получателя. Сама подмена не приводила к потере средств: пользователь должен был подписать измененную операцию. Доступ к приватным ключам для атаки не требовался.
Первое сообщение об уязвимости команда получила 11 октября: пользователь обнаружил в истории кошелька перевод на неизвестный адрес, но о потере средств не сообщил. 18 октября поступило обращение от пользователя, который увеличил комиссию подмененной транзакции и лишился биткоинов. Сумму ущерба и общий масштаб атак разработчики не раскрыли.
Исправление проверяет подписи входов неподтвержденных транзакций, расходующих средства пользователя, но не проверяет все сведения, поступающие от сервера: например, входящие транзакции по-прежнему не проверяются. Разработчики призвали установить Electrum 4.8.3 и тщательно сверять адреса и суммы перед подписанием. Пользователи, подключавшиеся только к доверенным серверам, например собственным, описанной атаке не подвергались.
Разобраться в теме новости
Как купить биткоин за рубли и вывести BTC на кошелёк
Порядок первой покупки Bitcoin: как выбрать способ оплаты, купить часть BTC, проверить торговую пару и вывести монеты в основную сеть на личный адрес.
Открыть инструкцию ПОШАГОВО
Как оплатить Lightning-инвойс и проверить статус платежа
Что проверить в Lightning-инвойсе: получателя, сумму, срок действия и состояние оплаты. Как действовать при истёкшем запросе или неопределённом результате.
Открыть инструкцию ПОШАГОВОКак проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию