Хакеры использовали уязвимость Electrum для кражи биткоинов
Разработчики Electrum выпустили срочное обновление 4.8.3 после того, как злоумышленники воспользовались уязвимостью кошелька для подмены транзакций и кражи средств.
Electrum — это биткоин-кошелек, который подключается к внешним серверам для получения истории транзакций и использует верификацию простого платежа (Simple Payment Verification). При отображении ожидающих транзакций кошелек доверял эту функцию своему основному серверу.
Злоумышленники перехватывали транзакции через вредоносные серверы до попадания информации в сеть Биткоина. Отключив отображение легитимной транзакции, они заменяли ее, подставляя свой адрес вместо адреса получателя. Поддельная транзакция содержала недействительные подписи, но уязвимые версии Electrum не проверяли их перед отображением в истории.
Риск возникал, когда пользователи пытались увеличить комиссию через функцию Replace-by-Fee (RBF), позволяющую заменить неподтвержденный платеж другим с более высокой комиссией. Подтверждая корректировку комиссии, пользователи могли подписать действительную транзакцию в пользу злоумышленника.
Разработчики подтвердили два случая кражи. 11 октября владелец кошелька под псевдонимом dannydeezy сообщил, что транзакция в истории Electrum не соответствует изначально отправленному платежу. 18 октября аноним Raju-K12 уведомил разработчиков о потере средств при попытке увеличить комиссию. В его случае мошенническая транзакция имела нулевую комиссию, что, по мнению команды Electrum, было сделано для того, чтобы жертва сама инициировала повышение комиссии.
Уязвимость затронула все версии Electrum до 4.8.3. Разработчики не уточнили сумму украденных средств, число задействованных серверов и число жертв. Исправление добавлено в версию 4.8.3 23 октября, загружаемые бинарные файлы стали доступны 24 октября. Введена проверка подписи для неподтвержденных транзакций; при этом обновление не превращает Electrum в полный узел Биткоина, поэтому входящие неподтвержденные транзакции остаются вне новых проверок подписи, тогда как подтвержденные платежи проходят прежние процедуры верификации.
Владельцам ранних версий рекомендуется скачать обновление с официального сайта Electrum. Тем, кто не может обновиться быстро, стоит проверять полные адреса получателей и суммы перед подписанием транзакций, включая замену комиссий. Пользователи, подключающиеся только к доверенным серверам, включая собственный, этой атаке не подвержены.