Se você usa o Electrum (uma carteira leve de Bitcoin para computador), hoje não vá direto conferir a cotação: confira primeiro o número da versão.
O Electrum publicou a versão 4.8.3 em 23 de outubro, identificada como uma atualização de segurança. O comunicado de segurança divulgado em 24 de outubro classificou o problema como “alto risco”: um servidor malicioso pode adulterar a transação que você acabou de transmitir e depois induzir você a pagar uma taxa maior, enviando o dinheiro ao atacante.
O processo funciona mais ou menos assim:
1. Você envia uma transferência, mas o servidor malicioso ao qual está conectado a “engole” e não a transmite para a rede.
2. O servidor insere uma transação falsa no histórico da sua carteira, troca o endereço de recebimento pelo do atacante e faz de propósito com que os quatro últimos caracteres sejam iguais aos do seu endereço verdadeiro.
3. A assinatura da transação falsa é inválida e a taxa é zero, então ela parece estar “travada”. Quando você, preocupado, clica em “acelerar/aumentar a taxa”, a carteira usa sua chave privada para assinar uma transação válida, e o dinheiro acaba sendo transferido de verdade.
Segundo o comunicado oficial, esse ataque já foi observado na prática. Foram recebidos relatos de dois usuários, e um deles já perdeu dinheiro depois de tentar acelerar a transação.
O que fazer:
1. Atualize para a versão 4.8.3 pelo site oficial e, depois de baixar, confira a assinatura. A nova versão verifica a assinatura das transações não confirmadas que gastam fundos do seu próprio endereço antes de exibi-las.
2. Se não puder atualizar por enquanto, confira sempre o endereço de recebimento completo e o valor antes de assinar qualquer transação (inclusive ao acelerá-la). Não confira apenas os últimos caracteres.
3. Quem opera o próprio servidor e se conecta apenas a nós confiáveis não é afetado por esse problema.
Sem rodeios: o reflexo de “a transação travou, acelere logo” é exatamente o roteiro do atacante desta vez. Também está na hora de abandonar o hábito de conferir apenas os quatro primeiros e os quatro últimos caracteres do endereço.
O Electrum publicou a versão 4.8.3 em 23 de outubro, identificada como uma atualização de segurança. O comunicado de segurança divulgado em 24 de outubro classificou o problema como “alto risco”: um servidor malicioso pode adulterar a transação que você acabou de transmitir e depois induzir você a pagar uma taxa maior, enviando o dinheiro ao atacante.
O processo funciona mais ou menos assim:
1. Você envia uma transferência, mas o servidor malicioso ao qual está conectado a “engole” e não a transmite para a rede.
2. O servidor insere uma transação falsa no histórico da sua carteira, troca o endereço de recebimento pelo do atacante e faz de propósito com que os quatro últimos caracteres sejam iguais aos do seu endereço verdadeiro.
3. A assinatura da transação falsa é inválida e a taxa é zero, então ela parece estar “travada”. Quando você, preocupado, clica em “acelerar/aumentar a taxa”, a carteira usa sua chave privada para assinar uma transação válida, e o dinheiro acaba sendo transferido de verdade.
Segundo o comunicado oficial, esse ataque já foi observado na prática. Foram recebidos relatos de dois usuários, e um deles já perdeu dinheiro depois de tentar acelerar a transação.
O que fazer:
1. Atualize para a versão 4.8.3 pelo site oficial e, depois de baixar, confira a assinatura. A nova versão verifica a assinatura das transações não confirmadas que gastam fundos do seu próprio endereço antes de exibi-las.
2. Se não puder atualizar por enquanto, confira sempre o endereço de recebimento completo e o valor antes de assinar qualquer transação (inclusive ao acelerá-la). Não confira apenas os últimos caracteres.
3. Quem opera o próprio servidor e se conecta apenas a nós confiáveis não é afetado por esse problema.
Sem rodeios: o reflexo de “a transação travou, acelere logo” é exatamente o roteiro do atacante desta vez. Também está na hora de abandonar o hábito de conferir apenas os quatro primeiros e os quatro últimos caracteres do endereço.