Уязвимость в биткоин-кошельке подвергла пользователей Electrum риску кражи средств
Уязвимость в биткоин-кошельке Electrum позволяла вредоносным серверам подменять ожидающие платежи фальшивыми транзакциями. Пользователи, пытавшиеся ускорить такие платежи с помощью Replace-by-Fee (RBF), могли неосознанно подписать действительную транзакцию, отправляющую их биткоины злоумышленнику. Electrum подтвердила как минимум одну кражу; сумма и задействованные серверы не раскрываются.
Уязвимость была связана с тем, как Electrum проверяла неподтверждённые транзакции, предоставленные внешними серверами. Злоумышленники могли создать видимость ожидающего мошеннического платежа, а в одном из сообщённых случаев использовали адрес получателя, последние четыре символа которого совпадали с символами предполагаемого адреса. 24 октября Electrum выпустила версию 4.8.3, добавив проверку подписей. Более ранние версии могут оставаться уязвимыми при подключении к вредоносным серверам.
Пользователям следует обновить Electrum и перед подписанием проверять адреса и суммы платежей. Разработчики заявили, что пользователи, подключавшиеся только к доверенным серверам, в том числе собственным, не подвергались риску. Эта уязвимость биткоин-кошелька представляет угрозу безопасности для пользователей затронутых версий, но не свидетельствует о проблеме в сети Bitcoin или её правилах консенсуса.
Neutral
Уязвимость Electrum представляет собой серьёзную проблему операционной безопасности для пользователей затронутых кошельков, однако в статье не говорится о слабых местах протокола Bitcoin, его правилах консенсуса или сетевых расчётах. Подтверждённая кража может побудить пострадавших пользователей обновить ПО, внимательнее проверять транзакции и пересмотреть, каким серверам Electrum они доверяют. Это может вызвать краткосрочную обеспокоенность безопасностью кошельков, но прямое влияние на торговлю BTC, ликвидность и стабильность рынка, вероятно, будет ограниченным.
В прошлом инциденты безопасности с кошельками и биржами иногда вызывали кратковременную реакцию ухода от риска, особенно когда потери были значительными или происшествие ставило под сомнение надёжность хранения активов на всём рынке. В данном случае размер заявленных потерь неизвестен, а уязвимость связана с обработкой Electrum неподтверждённых транзакций через вредоносные серверы. Electrum выпустила версию 4.8.3 с дополнительными проверками подписей; пользователи, подключавшиеся только к доверенным серверам, не подвергались риску, что может помочь ограничить более широкие последствия.
Трейдерам следует отличать риски, связанные с поставщиком кошелька, от рисков сети Bitcoin. Настроения в краткосрочной перспективе могут ухудшиться, если поступят сообщения о новых кражах или других пострадавших пользователях. В долгосрочной перспективе этот инцидент может усилить спрос на обновления ПО, проверку с помощью аппаратных кошельков и использование доверенных серверов или серверов под собственным управлением, однако сам по себе он не даёт чёткого сигнала о направлении движения цены BTC.