Bitcoin cüzdanındaki bir hata, Electrum kullanıcılarını hırsızlık riskine maruz bıraktı
Electrum Bitcoin cüzdanındaki bir hata, kötü amaçlı sunucuların bekleyen ödemeleri sahte işlemlerle değiştirmesine olanak tanıyordu. Replace-by-Fee (RBF) kullanarak bu ödemeleri hızlandırmaya çalışan kullanıcılar, bitcoinlerini bir saldırgana gönderen geçerli bir işlemi farkında olmadan imzalayabiliyordu. Electrum en az bir hırsızlık vakasını doğruladı; miktar ve ilgili sunucular açıklanmadı.
Açık, Electrum’un harici sunucular tarafından sağlanan onaylanmamış işlemleri denetleme biçimini etkiliyordu. Saldırganlar sahte bir ödemeyi beklemedeymiş gibi gösterebiliyor, bildirilen bir vakada ise amaçlanan adresle son dört karakteri aynı olan bir alıcı adresi kullanıyordu. Electrum, imza kontrolleri ekleyen 4.8.3 sürümünü 24 Ekim’de yayımladı. Önceki sürümler, kötü amaçlı sunuculara bağlandıklarında hâlâ savunmasız olabilir.
Kullanıcılar Electrum’u güncellemeli ve imzalamadan önce ödeme adreslerini ve tutarları doğrulamalıdır. Geliştiriciler, kendi sunucuları da dâhil olmak üzere yalnızca güvenilir sunuculara bağlanan kullanıcıların risk altında olmadığını söyledi. Bitcoin cüzdanındaki bu hata, etkilenen cüzdan kullanıcıları için bir güvenlik riskidir; Bitcoin ağında veya konsensüs kurallarında bir kusur olduğunun kanıtı değildir.
Neutral
Electrum’daki güvenlik açığı, etkilenen cüzdan kullanıcıları için ciddi bir operasyonel güvenlik sorunudur; ancak makale Bitcoin protokolünde, mutabakat kurallarında veya ağdaki takas işlemlerinde bir zayıflığa işaret etmemektedir. Doğrulanan hırsızlık, etkilenen kullanıcıları yazılımlarını güncellemeye, işlemleri daha dikkatli kontrol etmeye ve hangi Electrum sunucularına güvendiklerini yeniden değerlendirmeye yöneltebilir. Bu durum kısa vadede cüzdan güvenliğine ilişkin endişe yaratabilir, ancak BTC işlemleri, likidite ve piyasa istikrarı üzerindeki doğrudan etkinin sınırlı kalması muhtemeldir.
Geçmişte cüzdanları ve borsaları etkileyen bazı güvenlik olayları, özellikle kayıplar büyük olduğunda veya olay piyasanın genelinde saklama uygulamalarına dair kuşkular yarattığında, kısa süreli riskten kaçınma tepkilerine yol açmıştır. Burada bildirilen kayıp miktarı bilinmiyor ve sorun, Electrum’un onaylanmamış işlemleri kötü niyetli sunucular üzerinden ele alma biçimiyle bağlantılı. Electrum, ek imza kontrolleri içeren 4.8.3 sürümünü yayımladı. Yalnızca güvenilir sunuculara bağlanan kullanıcılar ise etkilenmedi; bu da daha geniş çaplı etkinin sınırlanmasına yardımcı olabilir.
Yatırımcılar, cüzdan sağlayıcısıyla ilgili riski Bitcoin ağının riskinden ayırmalıdır. Yeni hırsızlıklar veya etkilenen başka kullanıcılar bildirilirse kısa vadeli piyasa duyarlılığı zayıflayabilir. Uzun vadede olay; yazılım güncellemelerine, donanım cüzdanlarıyla doğrulamaya ve güvenilir ya da kullanıcıların kendi işlettiği sunuculara olan talebi artırabilir; ancak tek başına BTC fiyatlarının yönüne ilişkin net bir sinyal sunmaz.