Bitcoin-lompakon virhe altisti Electrum-käyttäjät varkauksille
Bitcoin-lompakko Electrumissa ollut ohjelmistovirhe mahdollisti sen, että haitalliset palvelimet korvasivat odottavia maksuja väärennetyillä tapahtumilla. Käyttäjät, jotka yrittivät nopeuttaa maksuja Replace-by-Fee-menetelmällä (RBF), saattoivat tietämättään allekirjoittaa kelvollisen tapahtuman, joka lähetti heidän bitcoininsa hyökkääjälle. Electrum vahvisti ainakin yhden varkauden; summaa ja siihen liittyneitä palvelimia ei ole kerrottu.
Virhe liittyi siihen, miten Electrum tarkisti ulkoisilta palvelimilta saatuja vahvistamattomia tapahtumia. Hyökkääjät saattoivat saada vilpillisen maksun näyttämään odottavalta, ja yhdessä raportoidussa tapauksessa he käyttivät vastaanotto-osoitetta, jonka neljä viimeistä merkkiä olivat samat kuin tarkoitetussa osoitteessa. Electrum julkaisi 24. lokakuuta version 4.8.3, johon lisättiin allekirjoitusten tarkistukset. Aiemmat versiot voivat yhä olla haavoittuvia, jos ne yhdistävät haitallisiin palvelimiin.
Käyttäjien tulisi päivittää Electrum ja tarkistaa maksuosoitteet sekä summat ennen allekirjoittamista. Kehittäjien mukaan käyttäjät, jotka olivat yhteydessä vain luotettuihin palvelimiin, myös omiin palvelimiinsa, eivät olleet vaarassa. Bitcoin-lompakon virhe on tietoturvariski kyseisten lompakoiden käyttäjille, eikä se ole osoitus Bitcoin-verkon tai sen konsensussääntöjen viasta.
Neutral
Electrumin haavoittuvuus on vakava operatiivisen tietoturvan ongelma niiden käyttäjille, joiden lompakot ovat alttiita, mutta artikkelissa ei viitata heikkouteen Bitcoin-protokollassa, konsensussäännöissä tai verkon maksujen selvityksessä. Vahvistettu varkaus voi saada asianomaiset käyttäjät päivittämään ohjelmistonsa, tarkistamaan tapahtumat huolellisemmin ja arvioimaan uudelleen, mihin Electrum-palvelimiin he luottavat. Tämä voi herättää lyhytaikaista huolta lompakoiden turvallisuudesta, mutta suora vaikutus BTC-kaupankäyntiin, likviditeettiin ja markkinoiden vakauteen jää todennäköisesti rajalliseksi.
Aiemmat lompakoihin ja pörsseihin liittyneet tietoturvapoikkeamat ovat toisinaan aiheuttaneet lyhytaikaisia riskien välttämisen reaktioita, etenkin kun tappiot ovat olleet suuria tai tapahtuma on herättänyt epäilyjä säilytyskäytännöistä laajemmin markkinoilla. Tässä tapauksessa ilmoitettujen tappioiden määrää ei tiedetä, ja haavoittuvuus liittyy siihen, miten Electrum käsittelee vahvistamattomia tapahtumia haitallisten palvelimien kautta. Electrum on julkaissut version 4.8.3, jossa on lisätty allekirjoitustarkistuksia. Ainoastaan luotettaviin palvelimiin yhteydessä olleet käyttäjät eivät altistuneet haavoittuvuudelle, mikä voi auttaa rajoittamaan laajempia vaikutuksia.
Treidaajien tulisi erottaa lompakon tarjoajaan liittyvä riski Bitcoin-verkon riskistä. Lyhyen aikavälin markkinatunnelma voi heikentyä, jos uusista varkauksista tai muista vaikutusten kohteeksi joutuneista käyttäjistä ilmoitetaan. Pidemmällä aikavälillä tapaus voi vahvistaa ohjelmistopäivitysten, laitteistolompakoilla tehtävän varmennuksen sekä luotettavien tai itse ylläpidettyjen palvelimien kysyntää, mutta yksinään se ei anna selvää suuntasignaalia BTC:n hinnoille.