Помилка в біткоїн-гаманці наразила користувачів Electrum на ризик крадіжки
Помилка в біткоїн-гаманці Electrum давала змогу зловмисним серверам підміняти платежі, що очікували на підтвердження, фальшивими транзакціями. Користувачі, які намагалися пришвидшити такі платежі за допомогою Replace-by-Fee (RBF), могли несвідомо підписати дійсну транзакцію, що надсилала їхні біткоїни зловмиснику. Electrum підтвердила щонайменше одну крадіжку; суму та залучені сервери не розголошено.
Уразливість стосувалася способу, у який Electrum перевіряла непідтверджені транзакції, отримані від зовнішніх серверів. Зловмисники могли створити враження, що шахрайський платіж очікує на підтвердження, а в одному з повідомлених випадків використали адресу отримувача, останні чотири символи якої збігалися з адресою, на яку користувач хотів надіслати кошти. 24 жовтня Electrum випустила версію 4.8.3, додавши перевірку підписів. Попередні версії можуть залишатися вразливими під час підключення до зловмисних серверів.
Користувачам слід оновити Electrum і перевіряти адреси платежів та суми перед підписанням. Розробники заявили, що користувачі, які підключалися лише до довірених серверів, зокрема власних, не зазнали ризику. Ця помилка біткоїн-гаманця становить загрозу безпеці для користувачів уразливих гаманців, але не свідчить про ваду в мережі Bitcoin чи її правилах консенсусу.
Neutral
Уразливість Electrum є серйозною проблемою операційної безпеки для користувачів уражених гаманців, однак у статті не йдеться про слабкість протоколу Bitcoin, правил консенсусу чи розрахунків у мережі. Підтверджена крадіжка може спонукати постраждалих користувачів оновити програмне забезпечення, уважніше перевіряти транзакції та переглянути, яким серверам Electrum вони довіряють. Це може викликати короткострокове занепокоєння щодо безпеки гаманців, але прямий вплив на торгівлю BTC, ліквідність і стабільність ринку, ймовірно, буде обмеженим.
У минулому деякі інциденти безпеки, пов’язані з гаманцями та біржами, іноді спричиняли короткочасні реакції уникнення ризику, особливо коли збитки були значними або інцидент породжував сумніви щодо зберігання активів на ширшому ринку. У цьому випадку сума заявлених збитків невідома, а вразливість пов’язана зі способом, у який Electrum обробляє непідтверджені транзакції через шкідливі сервери. Electrum випустила версію 4.8.3 із додатковими перевірками підписів. Користувачі, підключені лише до надійних серверів, не зазнали ризику, що може допомогти обмежити ширший вплив.
Трейдерам слід розрізняти ризик, пов’язаний із постачальником гаманця, і ризик мережі Bitcoin. Короткострокові настрої можуть погіршитися, якщо з’являться повідомлення про нові крадіжки або інших постраждалих користувачів. У довгостроковій перспективі інцидент може посилити попит на оновлення програмного забезпечення, перевірку за допомогою апаратних гаманців і використання надійних серверів або серверів, якими користувачі керують самостійно, але сам по собі він не дає чіткого сигналу щодо напрямку руху цін BTC.