【مشكلة في إصدار Electrum القديم: إضافة رسوم المعاملة تعني توقيعك على سرقة عملاتك من البيتكوين 🚨🔥】
انضم إلى مجموعة معجبي السيد X عبر صفحتي الشخصية 🔥
أُطلق Electrum 4.8.3 يوم السبت، ويجب على جميع مستخدمي الإصدارات القديمة من محفظة البيتكوين الترقية. Electrum محفظة خفيفة، وتعتمد في سجل المعاملات على البلوك تشين وبثّ المعاملات على خوادم خارجية. ويمكن لخادم خبيث أن يبدّل دفعتك سرًا. وأخطر خطوة هي تعديل رسوم المعاملة. 🪙
يتحقق Electrum بنفسه من توقيعات المعاملات المؤكدة، لكن الإصدارات القديمة كانت تمرر بعض المعاملات غير المؤكدة من دون تحقق. وهذه هي الثغرة التي يستغلها الخادم الخبيث. يعترض دفعتك العادية ولا يبثها، ثم يدرج معاملة مزيفة تحوّل الأموال إلى عنوان لص، فتظل تظهر في الإصدار القديم على أنها بانتظار التأكيد. 🔍
وأضاف المهاجمون حيلة تمويه أخرى: آخر أربعة أحرف من العنوان المزيف مطابقة لآخر أربعة أحرف من العنوان الحقيقي. تلقي نظرة سريعة فتجدهما متطابقين، وتنقر بإصبعك. وتتضمن المعاملة المزيفة رسومًا مقدارها صفر، بانتظار أن تملّ من بطء التأكيد وتعدّل معدل الرسوم. وبمجرد تعديل المعدل، ستحتاج إلى توقيع المعاملة من جديد، وعندها ستذهب $BTC فعلًا. ⚠️
تلقى فريق Electrum بلاغين. في 11 أكتوبر، أبلغ المستخدم dannydeezy عن استبدال معاملته. وفي 18 أكتوبر، أبلغ المستخدم Raju-K12 عن اختفاء عملاته بعد تعديل معدل الرسوم. ويؤكد البلاغ الثاني أن سرقة العملات تحدث فعلًا، وليست مجرد خطر نظري. 📩
عالج Electrum 4.8.3 المشكلة بإضافة شرط التحقق من توقيع التحويلات غير المؤكدة أيضًا. ولن تُقبل المعاملات المزيفة التي لا تتطابق توقيعاتها في سجل المحفظة. يوصي الفريق بتنزيل البرنامج من electrum.org فقط، ثم التحقق من التوقيع بعد تثبيته. ولا يتأثر المستخدمون الذين يشغّلون خوادمهم بأنفسهم بهذا الهجوم. 🛠
برأيي، أخطر ما في هذه الحادثة أن Electrum لم يمسّ المفاتيح الخاصة. لم تغادر المفاتيح الخاصة جهازك قط، ومع ذلك اختفت العملات. أكبر نقطة ضعف في الحفظ الذاتي هي أنك لا تعرف ما الذي توقّعه. أما طريقتي الشخصية فبسيطة جدًا: أتحقق من كل حرف في المبلغ والعنوان. 🔐
📌 في الإصدارات القديمة من Electrum، كانت المعاملة المزيفة تظهر على أنها بانتظار الدفع؛ وإضافة الرسوم تعني توقيعك نيابةً عن اللص. الترقية إلى الإصدار 4.8.3 وحدها تسدّ هذه الثغرة.
بعد الترقية، هل ستتحقق من كل حرف في عنوان المحفظة؟
انضم إلى مجموعة معجبي السيد X عبر صفحتي الشخصية 🔥
أُطلق Electrum 4.8.3 يوم السبت، ويجب على جميع مستخدمي الإصدارات القديمة من محفظة البيتكوين الترقية. Electrum محفظة خفيفة، وتعتمد في سجل المعاملات على البلوك تشين وبثّ المعاملات على خوادم خارجية. ويمكن لخادم خبيث أن يبدّل دفعتك سرًا. وأخطر خطوة هي تعديل رسوم المعاملة. 🪙
يتحقق Electrum بنفسه من توقيعات المعاملات المؤكدة، لكن الإصدارات القديمة كانت تمرر بعض المعاملات غير المؤكدة من دون تحقق. وهذه هي الثغرة التي يستغلها الخادم الخبيث. يعترض دفعتك العادية ولا يبثها، ثم يدرج معاملة مزيفة تحوّل الأموال إلى عنوان لص، فتظل تظهر في الإصدار القديم على أنها بانتظار التأكيد. 🔍
وأضاف المهاجمون حيلة تمويه أخرى: آخر أربعة أحرف من العنوان المزيف مطابقة لآخر أربعة أحرف من العنوان الحقيقي. تلقي نظرة سريعة فتجدهما متطابقين، وتنقر بإصبعك. وتتضمن المعاملة المزيفة رسومًا مقدارها صفر، بانتظار أن تملّ من بطء التأكيد وتعدّل معدل الرسوم. وبمجرد تعديل المعدل، ستحتاج إلى توقيع المعاملة من جديد، وعندها ستذهب $BTC فعلًا. ⚠️
تلقى فريق Electrum بلاغين. في 11 أكتوبر، أبلغ المستخدم dannydeezy عن استبدال معاملته. وفي 18 أكتوبر، أبلغ المستخدم Raju-K12 عن اختفاء عملاته بعد تعديل معدل الرسوم. ويؤكد البلاغ الثاني أن سرقة العملات تحدث فعلًا، وليست مجرد خطر نظري. 📩
عالج Electrum 4.8.3 المشكلة بإضافة شرط التحقق من توقيع التحويلات غير المؤكدة أيضًا. ولن تُقبل المعاملات المزيفة التي لا تتطابق توقيعاتها في سجل المحفظة. يوصي الفريق بتنزيل البرنامج من electrum.org فقط، ثم التحقق من التوقيع بعد تثبيته. ولا يتأثر المستخدمون الذين يشغّلون خوادمهم بأنفسهم بهذا الهجوم. 🛠
برأيي، أخطر ما في هذه الحادثة أن Electrum لم يمسّ المفاتيح الخاصة. لم تغادر المفاتيح الخاصة جهازك قط، ومع ذلك اختفت العملات. أكبر نقطة ضعف في الحفظ الذاتي هي أنك لا تعرف ما الذي توقّعه. أما طريقتي الشخصية فبسيطة جدًا: أتحقق من كل حرف في المبلغ والعنوان. 🔐
📌 في الإصدارات القديمة من Electrum، كانت المعاملة المزيفة تظهر على أنها بانتظار الدفع؛ وإضافة الرسوم تعني توقيعك نيابةً عن اللص. الترقية إلى الإصدار 4.8.3 وحدها تسدّ هذه الثغرة.
بعد الترقية، هل ستتحقق من كل حرف في عنوان المحفظة؟
