Первый новостной портал России Последние новости в России и мире за 24 часа
»
Ошибка в биткоин-кошельке позволила жульническим серверам украсть средства, когда пользователи пытались ускорить платежи
Уязвимость в безопасности биткоин-кошелька позволила злостным серверам обманом заставить пользователей подписывать платежи для злоумышленников, когда они стремились ускорить свои транзакции. Создатели подтвердили как минимум один случай кражи средств.
В субботу Electrum, один из старейших программных биткоин-кошельков, рассказала об уязвимости, отметив, что ее уже используют некоторые серверы. В октябре разработчики получили два отчета, среди которых один от юзера, который потерял средства после одобрения обычного повышения комиссии за транзакцию.
В атаке использовалась особенность обработки Electrum платежей в биткоинах, которые еще не были доказаны сетью.
В отличие от полного биткоин-узла, Electrum зависит от внешних серверов для получения истории транзакций и широковещательных платежей. До внесения исправлений кошелек полагался на эти серверы, которые докладывали об ожидающих транзакциях без проверки их подписей.
Злоумышленник, контролирующий один из таких серверов, может перехватить платеж до его поступления в сеть биткоин и подменить его на липовую транзакцию в истории кошелька. В результате этой подмены монеты пользователя были отправлены на адрес, контролируемый злоумышленником, с внедрением недействительных подписей, которые не смогла обнаружить Electrum.
Тем не менее, кошелек затем показал, что фальшивый платеж находится в ожидании, и ловушка сработала, когда юзеры пытались ускорить процесс.
Биткоин позволяет заменять неподтвержденные транзакции на версии с более высокими комиссиями — функция, именуемая «Замена по комиссии». Если пользователь выберет этот вариант, Electrum сможет принять мошенническую транзакцию и подписать действительную подмену, отправив монеты злоумышленнику.
В одном зарегистрированном случае вредоносная транзакция не взимала комиссию, что делало ее видимой как зависшую. Злоумышленники также генерировали адреса получения, последние четыре знака которых совпадали с законным пунктом назначения, что усложняло обнаружение подмены при быстрой проверке.
В первом отчете, представленном 11 октября, речь шла о кошельке с мультиподписью «две из 3-х», использующем два аппаратных устройства Trezor. Пользователь проверил законность платежа на обоих устройствах, но позже увидел другую исходящую транзакцию в истории кошелька (этот пользователь не сообщил о потере средств).
Второй юзер сообщил 18 октября, что повысил комиссию за замещающую транзакцию и потерял деньги. Разработчики не раскрыли сумму украденного и не окрестили вредоносные серверы.
В ответ 24 октября Electrum выпустила версию 4.8.3, в которую была добавлена проверка подписи для неподтвержденных транзакций с внедрением монет из собственного кошелька пользователя. Однако более ранние версии остаются уязвимыми к данной спецатаке при подключении к вредоносным серверам.
Разработчики рекомендуют обновиться и проверять адреса получения и суммы перед подписанием платежей. Все юзеры, которые подключаются только к тем серверам, которым доверяют, включая свои собственные, не подверглись этой спецатаке.
Исправление произошло через 6 дней после первого сообщения о краже.
