Lỗi ví Bitcoin khiến người dùng Electrum có nguy cơ bị đánh cắp tiền
Một lỗi trong ví Bitcoin Electrum cho phép các máy chủ độc hại thay thế những khoản thanh toán đang chờ bằng giao dịch giả. Người dùng cố tăng tốc các khoản thanh toán đó bằng Replace-by-Fee (RBF) có thể vô tình ký một giao dịch hợp lệ, gửi bitcoin của họ cho kẻ tấn công. Electrum xác nhận đã xảy ra ít nhất một vụ đánh cắp; số tiền và các máy chủ liên quan chưa được tiết lộ.
Lỗ hổng ảnh hưởng đến cách Electrum kiểm tra các giao dịch chưa được xác nhận do máy chủ bên ngoài cung cấp. Kẻ tấn công có thể khiến một khoản thanh toán gian lận trông như đang chờ xử lý; trong một trường hợp được báo cáo, chúng dùng địa chỉ nhận có bốn ký tự cuối trùng với địa chỉ dự định. Ngày 24 tháng 10, Electrum phát hành phiên bản 4.8.3, bổ sung bước kiểm tra chữ ký. Các phiên bản cũ hơn có thể vẫn dễ bị tấn công khi kết nối với máy chủ độc hại.
Người dùng nên nâng cấp Electrum và kiểm tra địa chỉ thanh toán cũng như số tiền trước khi ký. Các nhà phát triển cho biết người dùng chỉ kết nối với máy chủ đáng tin cậy, kể cả máy chủ của chính họ, không bị ảnh hưởng. Lỗi ví Bitcoin này là rủi ro bảo mật đối với người dùng bị ảnh hưởng, chứ không phải bằng chứng cho thấy mạng Bitcoin hoặc các quy tắc đồng thuận của mạng có lỗi.
Neutral
Lỗ hổng của Electrum là một vấn đề nghiêm trọng về an ninh vận hành đối với người dùng các ví bị ảnh hưởng, nhưng bài viết không cho thấy giao thức Bitcoin, các quy tắc đồng thuận hay hoạt động thanh toán trên mạng có điểm yếu. Vụ đánh cắp đã được xác nhận có thể khiến người dùng bị ảnh hưởng cập nhật phần mềm, kiểm tra giao dịch kỹ hơn và cân nhắc lại việc tin tưởng những máy chủ Electrum nào. Điều này có thể gây lo ngại trong ngắn hạn về tính bảo mật của ví, nhưng tác động trực tiếp đến giao dịch BTC, thanh khoản và sự ổn định của thị trường có khả năng sẽ hạn chế.
Trong quá khứ, một số sự cố bảo mật liên quan đến ví và sàn giao dịch đôi khi đã gây ra phản ứng ngắn hạn né tránh rủi ro, đặc biệt khi thiệt hại lớn hoặc sự cố làm dấy lên nghi ngờ về hoạt động lưu ký trên toàn thị trường. Trong trường hợp này, số tiền bị mất được báo cáo vẫn chưa rõ, còn lỗ hổng liên quan đến cách Electrum xử lý các giao dịch chưa được xác nhận thông qua máy chủ độc hại. Electrum đã phát hành phiên bản 4.8.3 với các bước kiểm tra chữ ký bổ sung; người dùng chỉ kết nối với máy chủ đáng tin cậy không bị ảnh hưởng, điều này có thể giúp hạn chế tác động trên diện rộng.
Các nhà giao dịch nên phân biệt rủi ro từ nhà cung cấp ví với rủi ro của mạng Bitcoin. Tâm lý thị trường trong ngắn hạn có thể suy yếu nếu xuất hiện thêm báo cáo về các vụ đánh cắp hoặc người dùng bị ảnh hưởng. Về dài hạn, sự cố có thể củng cố nhu cầu cập nhật phần mềm, xác minh bằng ví phần cứng và sử dụng máy chủ đáng tin cậy hoặc do người dùng tự vận hành, nhưng bản thân sự cố không đưa ra tín hiệu rõ ràng về xu hướng giá BTC.