O pior dessa vulnerabilidade do Electrum é que ela tira proveito da sua cautela
Em 24 de outubro, o Electrum publicou um alerta sobre uma vulnerabilidade crítica que afeta todas as versões anteriores à 4.8.3. Segundo a equipe, já havia servidores fazendo isso em situações reais. Foram confirmados dois relatos, e uma pessoa perdeu dinheiro
O ataque não é complicado: você transmite uma transferência, o servidor malicioso não a encaminha e simplesmente a descarta. Depois, insere uma transação falsa no histórico da carteira — usando as mesmas entradas, envia quase todos os fundos para o endereço do atacante e mostra a taxa como zero
Você vê que a transferência está travada e que a taxa é zero. Qual é a reação normal? Aumentar a taxa manualmente, ou seja, usar RBF
Nesse momento, o Electrum assina aquela transação falsa, e o dinheiro vai parar no bolso do atacante
E tem algo ainda mais ardiloso: os últimos quatro caracteres do endereço do atacante são iguais aos do endereço para o qual você pretendia transferir
Isso deixa dois alertas para todos que fazem a própria custódia
Primeiro, não confira apenas os primeiros ou os últimos caracteres do endereço: confira o endereço inteiro. Se puder escanear o código, não digite o endereço manualmente
Segundo, se a transferência ficar travada, não use RBF diretamente na carteira. Consulte o txid em mempool.space para verificar o status real e só tome alguma medida depois de confirmar que a transação está mesmo na blockchain
Atualizar para a versão 4.8.3 é o mínimo, não é tudo
A segurança da carteira não se resume a instalá-la: é preciso não deixar nada passar em cada etapa 👀
$BTC #Electrum #钱包安全 #BTC
Em 24 de outubro, o Electrum publicou um alerta sobre uma vulnerabilidade crítica que afeta todas as versões anteriores à 4.8.3. Segundo a equipe, já havia servidores fazendo isso em situações reais. Foram confirmados dois relatos, e uma pessoa perdeu dinheiro
O ataque não é complicado: você transmite uma transferência, o servidor malicioso não a encaminha e simplesmente a descarta. Depois, insere uma transação falsa no histórico da carteira — usando as mesmas entradas, envia quase todos os fundos para o endereço do atacante e mostra a taxa como zero
Você vê que a transferência está travada e que a taxa é zero. Qual é a reação normal? Aumentar a taxa manualmente, ou seja, usar RBF
Nesse momento, o Electrum assina aquela transação falsa, e o dinheiro vai parar no bolso do atacante
E tem algo ainda mais ardiloso: os últimos quatro caracteres do endereço do atacante são iguais aos do endereço para o qual você pretendia transferir
Isso deixa dois alertas para todos que fazem a própria custódia
Primeiro, não confira apenas os primeiros ou os últimos caracteres do endereço: confira o endereço inteiro. Se puder escanear o código, não digite o endereço manualmente
Segundo, se a transferência ficar travada, não use RBF diretamente na carteira. Consulte o txid em mempool.space para verificar o status real e só tome alguma medida depois de confirmar que a transação está mesmo na blockchain
Atualizar para a versão 4.8.3 é o mínimo, não é tudo
A segurança da carteira não se resume a instalá-la: é preciso não deixar nada passar em cada etapa 👀
$BTC #Electrum #钱包安全 #BTC
