Кошелек Bitcoin Electrum исправил уязвимость, связанную с кражей средств

Биткойн-легкий кошелек Electrum 24 октября сообщил о злонамеренной атаке на сервер, направленной на увеличение комиссий за транзакции, и исправил это в версии 4.8.3, соответствующей уведомлению о безопасности GitHub GHSA-6jp4-8v48-cc5v. Пользователи, выполняя обычное увеличение комиссии за транзакции, могут передать средства злоумышленнику. Разработчики утверждают, что причиной стало сообщение пользователей о потере средств после подписания увеличения комиссии.

Результаты двух отчетов различаются: один человек после трансляции платежа обнаружил, что транзакции в истории кошелька были заменены, и заявил, что оригинальный платеж не попал в пиринговую сеть Биткойн и был задержан сервером; другой человек Raju-K12 сообщил о потере средств из-за увеличения комиссии по замененной транзакции. В ходе атаки злонамеренный сервер задерживал новые транзакции, транслируемые клиентом, и вставлял конфликтную транзакцию в историю, заменяя оригинальный вывод на адрес злоумышленника. Эта замененная транзакция на тот момент имела недействительную подпись, но легкий клиент не проверял эти подписи перед отображением неподтвержденной транзакции; после того как пользователь вручную увеличил комиссию и подписал, злоумышленник получил средства. Оба человека утверждают, что адрес злоумышленника совпадал с последними четырьмя цифрами законного адреса получения. В уведомлении не указаны украденные суммы, идентификаторы транзакций или адреса злоумышленников.

Патч соответствует коммиту 90fe308, который проверяет подписи собственных входов кошелька перед записью транзакций из пула памяти в локальную историю, но не затрагивает входы с адресов вне кошелька и не проводит полную проверку консенсуса. В уведомлении рекомендуется пользователям, которые не обновились, проверять адреса и суммы выводов при каждой подписи; клиенты, подключенные к собственным или доверенным серверам, не подвержены этой атаке. По временной шкале, информация была впервые раскрыта 11 октября, 18 октября был получен отчет о потерях от увеличения комиссии, версия с исправлением была помечена 23 октября, бинарные файлы и публичное раскрытие состоялись 24 октября.