Pada 24 Oktober (UTC+8), kerentanan berisiko tinggi GHSA-6jp4-8v48-cc5v pada dompet ringan Bitcoin Electrum diumumkan secara publik: semua versi di bawah 4.8.3 terdampak. Paket instalasi 4.8.3 dirilis pada hari yang sama, sementara tag git-nya bertanggal 23 Oktober. Server Electrum berbahaya dapat lebih dulu menelan transaksi asli yang baru saja Anda siarkan, lalu menyisipkan transaksi palsu yang belum dikonfirmasi dan bertentangan dengannya—tanda tangannya tidak valid, tetapi klien lama tidak memeriksanya. Yang tersisa di antarmuka hanya transaksi palsu, dengan alamat penerima yang sudah diganti menjadi milik penyerang.

Yang lebih licik adalah penyamarannya. Penyerang dapat membuat empat digit terakhir alamat palsu sama dengan alamat tujuan asli. Beberapa transaksi palsu bahkan menetapkan biaya transaksi nol, khusus untuk memancing Anda mengeklik «Naikkan biaya». Begitu Anda mengeklik RBF atau bump_fee, dompet akan menggunakan kunci privat Anda untuk menandatangani pembayaran sungguhan kepada peretas. Pihak resmi telah menerima dua laporan privat; salah satu pelapor benar-benar kehilangan koin setelah menaikkan biaya. Beberapa server sudah melakukan serangan ini di dunia nyata. Pengguna yang menjalankan node sendiri atau hanya terhubung ke server tepercaya tidak dapat diserang melalui jalur ini.

Mulai versi 4.8.3, dompet akan memverifikasi tanda tangan input yang «membelanjakan koin sendiri» di mempool. Unduh hanya dari electrum.org dan verifikasi GPG. Saat berita ini ditulis, harga spot BTC di Binance sekitar 80.496 dolar AS, turun sekitar 0,3% dalam 24 jam, dengan titik terendah harian sekitar 79.221 dolar AS.

#BTC #安全 #钱包 bukan merupakan saran investasi