#electrum钱包漏洞致资金被盗
كشفت محفظة Electrum مرة أخرى، وبوقائع دامية، عن الوجه الحقيقي لعبارة «الحفظ الذاتي». فقد أتاح ثغرة خطيرة استُغلت فعليًا للخوادم الخبيثة اعتراض المعاملات التي بثّها المستخدم للتو، واستبدالها بـ«معاملة زائفة قيد الانتظار» موجّهة إلى عنوان المهاجم، ثم انتظار ضغط المستخدم بنفسه على الزر القاتل: رفع الرسوم. كانت RBF وظيفة عادية في بيتكوين، لكنها تحولت في هذه الحالة إلى أداة تعذيب تنتزع الأموال بتوقيع المستخدم. لم يُسرق المفتاح الخاص، ولم تُصطَد العبارة الاستردادية؛ كل ما فعله المستخدم هو إجراء عادي تمامًا، ومع ذلك اختفت أمواله. وأكدت Electrum رسميًا تلقي بلاغين على الأقل، أحدهما عن خسارة أموال، بينما بقي المبلغ طي الكتمان.
ليست هذه المرة الأولى التي تجعل فيها Electrum خسائر مستخدميها درسًا للسوق. ففي الفترة بين 2019 و2020، اجتاحت هجمات التصيد التي استخدمت نوافذ تحديث مزيفة منظومة Electrum، وسرقت أكثر من 22 مليون دولار، أي ما يعادل 1980 بيتكوين. وخسر أحد المستخدمين دفعة واحدة 1400 بيتكوين بعد تحديث محفظته، وكانت قيمتها آنذاك نحو 15.8 مليون دولار. من النوافذ المنبثقة للتصيد إلى اختطاف RBF، تتغير أساليب الهجوم، لكن السيناريو الأساسي لم يتغير قط: فمحفظة Electrum الخفيفة تسلّم «حق رواية» ما يجري للمعاملات غير المؤكدة إلى خوادم خارجية، ويمكن لأي شخص تشغيل خادم Electrum. أنت لا تثق بالرياضيات، بل بأمانة شخص غريب.
«من يملك المفاتيح الخاصة يملك كل شيء» عبارة تكررت حتى صارت مخدرًا. ويثبت سجل ثغرات Electrum القاسي أن وجود المفتاح الخاص على جهازك لا يعني أنك تتحكم في الوجهة النهائية لمعاملتك. فعندما تستطيع الخوادم تغيير «المعاملة بانتظار التأكيد» التي تعرضها واجهة المحفظة من طرف واحد، وعندما كانت الإصدارات القديمة تعرضها للمستخدم باعتبارها من أصوله من دون حتى التحقق من التوقيع، تتحطم أسطورة الحفظ الذاتي تمامًا في الفجوة بين الشاشة وسلسلة الكتل. قد تحمي نفسك من انهيار منصة تداول، ومن مواقع التصيد، لكنك قد تقع ضحية السكين «المسرّعة» التي تقدمها لك محفظتك نفسها.
الترقية إلى الإصدار 4.8.3 ضرورية، لكنها لا تحل مشكلة جوهرية: منذ متى لم تتساءل بجدية عما إذا كانت المعاملة الظاهرة في محفظتك هي فعلًا المعاملة التي وقّعتها؟ في المرة القادمة التي تتعطل فيها الرسوم، هل ستضغط بلا تردد على «تسريع» مرة أخرى؟ وهل أنت متأكد أصلًا من المعاملة التي توقّعها؟
كشفت محفظة Electrum مرة أخرى، وبوقائع دامية، عن الوجه الحقيقي لعبارة «الحفظ الذاتي». فقد أتاح ثغرة خطيرة استُغلت فعليًا للخوادم الخبيثة اعتراض المعاملات التي بثّها المستخدم للتو، واستبدالها بـ«معاملة زائفة قيد الانتظار» موجّهة إلى عنوان المهاجم، ثم انتظار ضغط المستخدم بنفسه على الزر القاتل: رفع الرسوم. كانت RBF وظيفة عادية في بيتكوين، لكنها تحولت في هذه الحالة إلى أداة تعذيب تنتزع الأموال بتوقيع المستخدم. لم يُسرق المفتاح الخاص، ولم تُصطَد العبارة الاستردادية؛ كل ما فعله المستخدم هو إجراء عادي تمامًا، ومع ذلك اختفت أمواله. وأكدت Electrum رسميًا تلقي بلاغين على الأقل، أحدهما عن خسارة أموال، بينما بقي المبلغ طي الكتمان.
ليست هذه المرة الأولى التي تجعل فيها Electrum خسائر مستخدميها درسًا للسوق. ففي الفترة بين 2019 و2020، اجتاحت هجمات التصيد التي استخدمت نوافذ تحديث مزيفة منظومة Electrum، وسرقت أكثر من 22 مليون دولار، أي ما يعادل 1980 بيتكوين. وخسر أحد المستخدمين دفعة واحدة 1400 بيتكوين بعد تحديث محفظته، وكانت قيمتها آنذاك نحو 15.8 مليون دولار. من النوافذ المنبثقة للتصيد إلى اختطاف RBF، تتغير أساليب الهجوم، لكن السيناريو الأساسي لم يتغير قط: فمحفظة Electrum الخفيفة تسلّم «حق رواية» ما يجري للمعاملات غير المؤكدة إلى خوادم خارجية، ويمكن لأي شخص تشغيل خادم Electrum. أنت لا تثق بالرياضيات، بل بأمانة شخص غريب.
«من يملك المفاتيح الخاصة يملك كل شيء» عبارة تكررت حتى صارت مخدرًا. ويثبت سجل ثغرات Electrum القاسي أن وجود المفتاح الخاص على جهازك لا يعني أنك تتحكم في الوجهة النهائية لمعاملتك. فعندما تستطيع الخوادم تغيير «المعاملة بانتظار التأكيد» التي تعرضها واجهة المحفظة من طرف واحد، وعندما كانت الإصدارات القديمة تعرضها للمستخدم باعتبارها من أصوله من دون حتى التحقق من التوقيع، تتحطم أسطورة الحفظ الذاتي تمامًا في الفجوة بين الشاشة وسلسلة الكتل. قد تحمي نفسك من انهيار منصة تداول، ومن مواقع التصيد، لكنك قد تقع ضحية السكين «المسرّعة» التي تقدمها لك محفظتك نفسها.
الترقية إلى الإصدار 4.8.3 ضرورية، لكنها لا تحل مشكلة جوهرية: منذ متى لم تتساءل بجدية عما إذا كانت المعاملة الظاهرة في محفظتك هي فعلًا المعاملة التي وقّعتها؟ في المرة القادمة التي تتعطل فيها الرسوم، هل ستضغط بلا تردد على «تسريع» مرة أخرى؟ وهل أنت متأكد أصلًا من المعاملة التي توقّعها؟
