🚨 Aumentar a taxa de transação pode fazer com que o seu $BTC vá parar às mãos de um burlão.
A Electrum revelou uma vulnerabilidade que transformava uma operação rotineira de aumento da velocidade de uma transação num potencial roubo.
Um servidor malicioso podia ocultar o pagamento original e apresentar uma transação falsa que apontava para o endereço do atacante. As assinaturas eram inválidas, mas as versões mais antigas da carteira não as verificavam.
Quando o utilizador aumentava a taxa através do Replace-by-Fee (RBF), a carteira assinava a transação substituta, autorizando o pagamento ao atacante.
Para disfarçar a substituição, os atacantes geravam endereços cujos últimos quatro caracteres correspondiam aos do endereço do destinatário pretendido. Os programadores receberam duas denúncias, incluindo uma relativa a fundos perdidos.
✅ A correção está disponível no Electrum 4.8.3. Atualize antes da próxima transação. Transfira apenas a partir de electrum org e verifique a assinatura GPG do instalador.
A minha conclusão: a autocustódia exige que verifique exatamente aquilo que assina. Até uma ação familiar como «aumentar a taxa» merece que volte a verificar o endereço de destino completo e o montante. Quatro caracteres iguais não são suficientes.
Este incidente diz respeito à segurança das carteiras e à confiança nos servidores. O protocolo subjacente do Bitcoin não foi comprometido.
$BTC
A Electrum revelou uma vulnerabilidade que transformava uma operação rotineira de aumento da velocidade de uma transação num potencial roubo.
Um servidor malicioso podia ocultar o pagamento original e apresentar uma transação falsa que apontava para o endereço do atacante. As assinaturas eram inválidas, mas as versões mais antigas da carteira não as verificavam.
Quando o utilizador aumentava a taxa através do Replace-by-Fee (RBF), a carteira assinava a transação substituta, autorizando o pagamento ao atacante.
Para disfarçar a substituição, os atacantes geravam endereços cujos últimos quatro caracteres correspondiam aos do endereço do destinatário pretendido. Os programadores receberam duas denúncias, incluindo uma relativa a fundos perdidos.
✅ A correção está disponível no Electrum 4.8.3. Atualize antes da próxima transação. Transfira apenas a partir de electrum org e verifique a assinatura GPG do instalador.
A minha conclusão: a autocustódia exige que verifique exatamente aquilo que assina. Até uma ação familiar como «aumentar a taxa» merece que volte a verificar o endereço de destino completo e o montante. Quatro caracteres iguais não são suficientes.
Este incidente diz respeito à segurança das carteiras e à confiança nos servidores. O protocolo subjacente do Bitcoin não foi comprometido.
$BTC
