Błąd w portfelu Bitcoin naraził użytkowników Electrum na kradzież
Błąd w portfelu Bitcoin Electrum pozwalał złośliwym serwerom zastępować oczekujące płatności fałszywymi transakcjami. Użytkownicy, którzy próbowali przyspieszyć takie płatności za pomocą Replace-by-Fee (RBF), mogli nieświadomie podpisać prawidłową transakcję wysyłającą ich bitcoiny do atakującego. Electrum potwierdziło co najmniej jedną kradzież; nie ujawniono jej kwoty ani zaangażowanych serwerów.
Luka dotyczyła sposobu, w jaki Electrum sprawdzało niepotwierdzone transakcje dostarczane przez zewnętrzne serwery. Atakujący mogli sprawić, że fałszywa płatność wyglądała na oczekującą, a w jednym zgłoszonym przypadku użyli adresu odbiorcy, którego ostatnie cztery znaki były takie same jak w zamierzonym adresie. 24 października Electrum wydało wersję 4.8.3, dodając sprawdzanie podpisów. Starsze wersje mogą nadal być podatne na ataki po połączeniu ze złośliwymi serwerami.
Użytkownicy powinni zaktualizować Electrum oraz sprawdzać adresy płatności i kwoty przed podpisaniem transakcji. Twórcy poinformowali, że użytkownicy łączący się wyłącznie z zaufanymi serwerami, w tym własnymi, nie byli narażeni. Błąd w portfelu Bitcoin stanowi zagrożenie dla bezpieczeństwa użytkowników dotkniętych portfeli, ale nie świadczy o usterce sieci Bitcoin ani jej zasad konsensusu.
Neutral
Luka w zabezpieczeniach Electrum stanowi poważny problem z zakresu bezpieczeństwa operacyjnego dla użytkowników dotkniętych portfeli, ale artykuł nie wskazuje na słabość protokołu Bitcoin, zasad konsensusu ani rozliczeń w sieci. Potwierdzona kradzież może skłonić poszkodowanych użytkowników do zaktualizowania oprogramowania, dokładniejszego sprawdzania transakcji i ponownego rozważenia, którym serwerom Electrum ufają. Może to wywołać krótkoterminowe obawy o bezpieczeństwo portfeli, ale bezpośredni wpływ na handel BTC, płynność i stabilność rynku będzie prawdopodobnie ograniczony.
W przeszłości niektóre incydenty bezpieczeństwa dotyczące portfeli i giełd wywoływały krótkotrwałe reakcje polegające na unikaniu ryzyka, zwłaszcza gdy straty były duże lub incydent podawał w wątpliwość przechowywanie aktywów na szerszym rynku. W tym przypadku nie wiadomo, jaka jest zgłoszona kwota strat, a luka dotyczy sposobu, w jaki Electrum obsługuje niepotwierdzone transakcje za pośrednictwem złośliwych serwerów. Electrum wydało wersję 4.8.3 z dodatkowymi kontrolami podpisów. Użytkownicy łączący się wyłącznie z zaufanymi serwerami nie byli narażeni, co może pomóc ograniczyć szerszy wpływ.
Traderzy powinni odróżniać ryzyko związane z dostawcą portfela od ryzyka dotyczącego sieci Bitcoin. Nastroje w krótkim okresie mogą się pogorszyć, jeśli pojawią się doniesienia o kolejnych kradzieżach lub poszkodowanych użytkownikach. W dłuższej perspektywie incydent może zwiększyć zapotrzebowanie na aktualizacje oprogramowania, weryfikację za pomocą portfeli sprzętowych oraz korzystanie z zaufanych serwerów lub serwerów obsługiwanych samodzielnie, ale sam w sobie nie daje wyraźnego sygnału co do kierunku cen BTC.