Fatalny błąd w portfelu Bitcoin. Wystarczyło przyspieszyć przelew, by stracić wszystko
Niebezpieczna luka w jednym z najstarszych i najpopularniejszych portfeli dla Bitcoina doprowadziła do utraty środków przez dziesiątki użytkowników.
Programiści rozwijający oprogramowanie Electrum potwierdzili, że miał miejsce incydent, w którym złośliwe serwery wykorzystały mechanizm przyspieszania transakcji do wyłudzenia cyfrowych aktywów. Problem dotyczył sposobu, w jaki aplikacja weryfikowała niepotwierdzone transakcje przesyłane przez zewnętrzne węzły sieci. W przeciwieństwie do pełnych węzłów, lekki portfel Electrum polega na zewnętrznych serwerach w celu pobierania historii oraz rozgłaszania płatności w sieci Bitcoin. Przed wprowadzeniem najnowszej poprawki aplikacja ufała danym napływającym z serwerów i wyświetlała transakcje bez uprzedniego zweryfikowania ich podpisów cyfrowych.
Pułapka na użytkowników
Cyberprzestępcy przemujący kontrolę nad serwerem mogli przechwycić oczekującą płatność zanim trafiła ona do głównej sieci Bitcoin i zastąpić ją w historii portfela fałszywym wpisem. Podrobiona transakcja przesyłała środki na adres kontrolowany przez atakującego, wykorzystując nieprawidłowe podpisy, których stary kod oprogramowania nie potrafił wykryć. Sfałszowany przelew pojawiał się w interfejsie jako oczekujący na zatwierdzenie, co skłaniało użytkowników do skorzystania z funkcji przyspieszenia płatności.
W tym miejscu wyjaśnijmy, że w sieci Bitcoin istnieje funkcja Replace-by-Fee pozwalająca na zastąpienie niepotwierdzonej transakcji jej nową wersją z wyższą opłatą dla górników. Gdy nieświadomy zagrożenia użytkownik decydował się na podbicie prowizji, portfel Electrum generował prawidłowy podpis cyfrowy dla podmienionej transakcji i wysyłał Bitcoiny bezpośrednio na konto oszustów. Ponadto przestępcy stosowali zaawansowane metody manipulacji, dopasowując ostatnie cztery znaki generowanego adresu do docelowego portfela odbiorcy, co uniemożliwiało szybkie wykrycie oszustwa podczas pobieżnej weryfikacji.
Rekomendacje bezpieczeństwa
Pierwsze zgłoszenie dotyczące nieprawidłowego zachowania portfela wpłynęło do deweloperów 11 października i dotyczyło portfela z wielokrotnym podpisem, który wykorzystywał dwa urządzenia sprzętowe firmy Trezor. Użytkownik zauważył wówczas rozbieżność w historii transakcji, lecz nie stracił żadnych aktywów. Już 18 października pojawiło się kolejne zgłoszenie raport od osoby, która po podniesieniu opłaty w podmienionej transakcji bezpowrotnie utraciła swoje Bitcoiny.
W odpowiedzi na te dwa zdarzenia 24 października twórcy oprogramowania opublikowali wersję 4.8.3, która wprowadziła obowiązkową weryfikację podpisów dla niepotwierdzonych transakcji wydających środki z portfela użytkownika. Najważniejszą informacją jest jednak to, że wszystkie wcześniejsze wydania aplikacji pozostają podatne na atak, jeśli są połączone z niezafartowanymi serwerami. Dlatego też zespoły bezpieczeństwa apelują o natychmiastową aktualizację oprogramowania oraz dokładne sprawdzanie adresów docelowych i kwot przed podpisaniem każdej płatności.
Przeczytaj również:
Sensacja na rynku krypto. Prawie 55 proc. Bitcoinów przepadło?
Ktoś właśnie przelał 200 mln USD na XRP Ledger. Ślady prowadzą do wielkiego funduszu
