באג בארנק ביטקוין חשף את משתמשי Electrum לסכנת גניבה
באג בארנק הביטקוין Electrum אפשר לשרתים זדוניים להחליף תשלומים ממתינים בעסקאות מזויפות. משתמשים שניסו לזרז את התשלומים באמצעות Replace-by-Fee (RBF) עלולים היו לחתום מבלי לדעת על עסקה תקינה ששולחת את הביטקוין שלהם לתוקף. Electrum אישרה לפחות מקרה גניבה אחד; הסכום והשרתים המעורבים לא נחשפו.
הפגם השפיע על האופן שבו Electrum בדקה עסקאות שטרם אושרו וסופקו בידי שרתים חיצוניים. תוקפים יכלו לגרום לתשלום הונאה להיראות כממתין, ובמקרה אחד שדווח השתמשו בכתובת של מקבל שארבעת התווים האחרונים שלה זהים לאלה שבכתובת המיועדת. ב-24 באוקטובר פרסמה Electrum את גרסה 4.8.3, שכללה בדיקות חתימה. גרסאות קודמות עלולות להישאר פגיעות כאשר הן מתחברות לשרתים זדוניים.
על המשתמשים לעדכן את Electrum ולוודא את כתובות התשלום ואת הסכומים לפני החתימה. המפתחים מסרו שמשתמשים שהתחברו רק לשרתים מהימנים, לרבות שרתים שבבעלותם, לא היו חשופים. הבאג בארנק הביטקוין הוא סיכון אבטחה למשתמשי הארנק שנפגעו, ולא ראיה לפגם ברשת הביטקוין או בכללי הקונצנזוס שלה.
Neutral
הפגיעות ב-Electrum היא בעיית אבטחה תפעולית חמורה עבור משתמשי הארנקים שנפגעו, אך המאמר אינו מצביע על חולשה בפרוטוקול של Bitcoin, בכללי הקונצנזוס או בסליקת העסקאות ברשת. הגניבה שאושרה עשויה לעודד משתמשים שנפגעו לשדרג, לבדוק עסקאות ביתר קפדנות ולבחון מחדש על אילו שרתי Electrum הם סומכים. הדבר עלול לעורר דאגה קצרת טווח בנוגע לאבטחת הארנקים, אך ההשפעה הישירה על מסחר ב-BTC, על הנזילות ועל יציבות השוק צפויה להיות מוגבלת.
בעבר, אירועי אבטחה בארנקים ובבורסות עוררו לעיתים תגובות קצרות של הימנעות מסיכון, במיוחד כשההפסדים היו גדולים או כשהאירוע עורר ספקות לגבי משמורת על נכסים בשוק הרחב. במקרה זה, היקף ההפסד שדווח אינו ידוע, והפגם קשור לאופן שבו Electrum מטפלת בעסקאות שטרם אושרו דרך שרתים זדוניים. Electrum פרסמה את גרסה 4.8.3, הכוללת בדיקות חתימה נוספות. משתמשים שהתחברו רק לשרתים מהימנים לא נחשפו לסיכון, והדבר עשוי לסייע בהגבלת ההשפעה הרחבה יותר.
על הסוחרים להבחין בין הסיכון הכרוך בספק הארנק לבין הסיכון לרשת Bitcoin. הסנטימנט בטווח הקצר עלול להיחלש אם ידווחו על גניבות נוספות או על משתמשים נוספים שנפגעו. בטווח הארוך, האירוע עשוי לחזק את הביקוש לעדכוני תוכנה, לאימות באמצעות ארנקי חומרה ולשרתים מהימנים או כאלה שהמשתמשים מפעילים בעצמם. עם זאת, כשלעצמו אין בו איתות ברור לגבי כיוון המחירים של BTC.