🐕 Cão Selvagem Cripto · Boletim do meio-dia (26 de outubro)
A Electrum acabou de corrigir uma vulnerabilidade ardilosa — quem usa carteiras leves deve ficar atento.
O esquema funciona assim (CoinDesk, comunicado de segurança da Electrum de 24 de outubro): a Electrum depende de servidores externos para consultar o histórico de transações. Um servidor malicioso pode intercetar o seu pagamento antes de este ser transmitido à rede e substituí-lo por um falso — os dados de entrada são os mesmos, mas o endereço de destino é do atacante. E, como as versões antigas da carteira não verificam a assinatura de transações não confirmadas, mostram-na como pendente. Os últimos quatro caracteres do endereço falso são deliberadamente iguais aos do endereço verdadeiro, por isso é quase impossível detetar a diferença à primeira vista.
O pior vem a seguir: a transação falsa tem uma taxa de zero, por isso parece estar bloqueada. Quando carrega em acelerar (Replace-by-Fee) para a fazer avançar, está, na prática, a assinar pessoalmente a transação do atacante — a sua tentativa de aceleração acaba por concluir o roubo. Em outubro, dois utilizadores fizeram uma denúncia; um deles perdeu dinheiro.
A versão corrigida já está disponível: a Electrum 4.8.3 começa a verificar as assinaturas de transações não confirmadas. Se ainda usa uma versão antiga e se liga a servidores públicos, atualize já. Antes de assinar, confira o endereço completo e o montante — não se limite aos últimos caracteres.
Falando com toda a franqueza: uma carteira que não verifica se aquilo que apresenta é verdadeiro não é uma carteira; é uma máquina de espalhar boatos com as suas moedas lá dentro. Os utilizadores que recorrem aos seus próprios servidores de confiança não foram afetados — fica a lição: ou configura o seu próprio servidor, ou atualiza imediatamente.
Só factos, sem previsões nem recomendações de compra.
A Electrum acabou de corrigir uma vulnerabilidade ardilosa — quem usa carteiras leves deve ficar atento.
O esquema funciona assim (CoinDesk, comunicado de segurança da Electrum de 24 de outubro): a Electrum depende de servidores externos para consultar o histórico de transações. Um servidor malicioso pode intercetar o seu pagamento antes de este ser transmitido à rede e substituí-lo por um falso — os dados de entrada são os mesmos, mas o endereço de destino é do atacante. E, como as versões antigas da carteira não verificam a assinatura de transações não confirmadas, mostram-na como pendente. Os últimos quatro caracteres do endereço falso são deliberadamente iguais aos do endereço verdadeiro, por isso é quase impossível detetar a diferença à primeira vista.
O pior vem a seguir: a transação falsa tem uma taxa de zero, por isso parece estar bloqueada. Quando carrega em acelerar (Replace-by-Fee) para a fazer avançar, está, na prática, a assinar pessoalmente a transação do atacante — a sua tentativa de aceleração acaba por concluir o roubo. Em outubro, dois utilizadores fizeram uma denúncia; um deles perdeu dinheiro.
A versão corrigida já está disponível: a Electrum 4.8.3 começa a verificar as assinaturas de transações não confirmadas. Se ainda usa uma versão antiga e se liga a servidores públicos, atualize já. Antes de assinar, confira o endereço completo e o montante — não se limite aos últimos caracteres.
Falando com toda a franqueza: uma carteira que não verifica se aquilo que apresenta é verdadeiro não é uma carteira; é uma máquina de espalhar boatos com as suas moedas lá dentro. Os utilizadores que recorrem aos seus próprios servidores de confiança não foram afetados — fica a lição: ou configura o seu próprio servidor, ou atualiza imediatamente.
Só factos, sem previsões nem recomendações de compra.