Pepijat pada dompet Bitcoin mendedahkan pengguna Electrum kepada risiko kecurian
Pepijat pada dompet Bitcoin Electrum membolehkan pelayan berniat jahat menggantikan pembayaran yang belum selesai dengan transaksi palsu. Pengguna yang cuba mempercepat pembayaran itu menggunakan Replace-by-Fee (RBF) mungkin tanpa disedari menandatangani transaksi sah yang menghantar bitcoin mereka kepada penyerang. Electrum mengesahkan sekurang-kurangnya satu kes kecurian; jumlah dan pelayan yang terlibat belum didedahkan.
Kelemahan itu menjejaskan cara Electrum menyemak transaksi belum disahkan yang dibekalkan oleh pelayan luaran. Penyerang boleh membuat pembayaran palsu kelihatan seperti masih menunggu, dan dalam satu kes yang dilaporkan, menggunakan alamat penerima yang empat aksara terakhirnya sama dengan alamat yang sepatutnya. Electrum mengeluarkan versi 4.8.3 pada 24 Oktober dengan menambah pemeriksaan tandatangan. Versi terdahulu mungkin masih terdedah apabila disambungkan kepada pelayan berniat jahat.
Pengguna disarankan menaik taraf Electrum serta mengesahkan alamat dan jumlah pembayaran sebelum menandatangani transaksi. Pembangun menyatakan bahawa pengguna yang hanya menyambung kepada pelayan dipercayai, termasuk pelayan milik mereka sendiri, tidak terdedah. Pepijat dompet Bitcoin ini merupakan risiko keselamatan bagi pengguna dompet yang terjejas, bukannya bukti kelemahan pada rangkaian Bitcoin atau peraturan konsensusnya.
Neutral
Kerentanan Electrum ialah isu keselamatan operasi yang serius bagi pengguna dompet yang terjejas, tetapi artikel itu tidak menunjukkan kelemahan pada protokol Bitcoin, peraturan konsensus atau penyelesaian rangkaian. Kecurian yang disahkan itu mungkin mendorong pengguna terjejas untuk menaik taraf, menyemak transaksi dengan lebih teliti dan mempertimbangkan semula pelayan Electrum yang mereka percayai. Hal ini boleh menimbulkan kebimbangan jangka pendek tentang keselamatan dompet, tetapi kesan langsung terhadap dagangan BTC, kecairan dan kestabilan pasaran berkemungkinan terhad.
Insiden keselamatan dompet dan bursa pada masa lalu kadangkala mencetuskan reaksi penghindaran risiko yang singkat, khususnya apabila kerugiannya besar atau insiden itu menimbulkan keraguan tentang penjagaan aset di seluruh pasaran. Dalam kes ini, jumlah kerugian yang dilaporkan tidak diketahui, dan kelemahan itu berkaitan dengan cara Electrum mengendalikan transaksi yang belum disahkan melalui pelayan berniat jahat. Electrum telah mengeluarkan versi 4.8.3 dengan pemeriksaan tandatangan tambahan. Pengguna yang hanya disambungkan kepada pelayan dipercayai tidak terdedah, dan hal ini mungkin membantu mengehadkan kesan yang lebih meluas.
Pedagang harus membezakan risiko penyedia dompet daripada risiko rangkaian Bitcoin. Sentimen jangka pendek mungkin merosot jika terdapat laporan kecurian lanjut atau lebih ramai pengguna terjejas. Dalam jangka panjang, insiden ini mungkin mengukuhkan permintaan terhadap kemas kini perisian, pengesahan melalui dompet perkakasan serta pelayan dipercayai atau yang dikendalikan sendiri. Namun, insiden ini sahaja tidak memberikan petunjuk arah yang jelas bagi harga BTC.