【Проблема со старой версией кошелька Electrum: добавляя комиссию, вы подписываете перевод своих биткоинов🚨🔥】
Вступайте в фан-чат господина X — ссылка в профиле🔥
Electrum 4.8.3 вышел в субботу — обновиться нужно всем, кто пользуется старой версией биткоин-кошелька. Electrum — это лёгкий кошелёк: за историей блокчейна и отправкой транзакций он обращается к внешним серверам. Злонамеренный сервер может незаметно подменить ваш платёж. Самый опасный момент — изменение комиссии.🪙
Electrum самостоятельно проверяет подписи подтверждённых транзакций, но в старых версиях некоторые неподтверждённые транзакции принимались без проверки. Именно этой лазейкой пользовался вредоносный сервер. Он перехватывал ваш обычный платёж и не отправлял его в сеть. Затем подсовывал поддельную транзакцию на адрес вора, и старая версия всё равно отображала её как ожидающую подтверждения.🔍
Злоумышленники добавили ещё одну уловку: последние четыре символа поддельного адреса совпадали с настоящим. Вы быстро взглянули, увидели совпадение — и нажали кнопку. В поддельной транзакции комиссия была указана как нулевая: расчёт был на то, что вы сочтёте перевод слишком медленным и захотите повысить комиссию. Изменили комиссию — пришлось подписывать транзакцию заново, и с этой подписью $BTC действительно ушли.⚠️
Команда Electrum получила два сообщения. 11 октября пользователь dannydeezy сообщил о подмене транзакции. 18 октября пользователь Raju-K12 сообщил, что после изменения комиссии его монеты пропали. Второе сообщение показывает, что кража монет действительно происходит, а не является лишь теоретическим риском.📩
В Electrum 4.8.3 добавили проверку подписей и для неподтверждённых переводов. Поддельные транзакции с несовпадающими подписями больше не попадут в историю кошелька. Скачивать кошелёк следует только с официального сайта electrum.org, а после установки нужно проверить подпись. Пользователи, которые самостоятельно запускают сервер, от этой атаки не пострадают.🛠
На мой взгляд, самое коварное в этой атаке на Electrum — злоумышленникам не нужно трогать приватный ключ. Он всё время оставался на вашем компьютере, а монеты всё равно пропали. Самое уязвимое место самостоятельного хранения — вы не знаете, что именно подписываете. Я поступаю очень просто: проверяю посимвольно сумму и адрес.🔐
📌 Старая версия Electrum отображала поддельную транзакцию как ожидающую оплаты. Повышение комиссии фактически означало подпись за вора. Уязвимость устранили только в версии 4.8.3.
После обновления вы будете проверять каждый символ адреса кошелька?
Вступайте в фан-чат господина X — ссылка в профиле🔥
Electrum 4.8.3 вышел в субботу — обновиться нужно всем, кто пользуется старой версией биткоин-кошелька. Electrum — это лёгкий кошелёк: за историей блокчейна и отправкой транзакций он обращается к внешним серверам. Злонамеренный сервер может незаметно подменить ваш платёж. Самый опасный момент — изменение комиссии.🪙
Electrum самостоятельно проверяет подписи подтверждённых транзакций, но в старых версиях некоторые неподтверждённые транзакции принимались без проверки. Именно этой лазейкой пользовался вредоносный сервер. Он перехватывал ваш обычный платёж и не отправлял его в сеть. Затем подсовывал поддельную транзакцию на адрес вора, и старая версия всё равно отображала её как ожидающую подтверждения.🔍
Злоумышленники добавили ещё одну уловку: последние четыре символа поддельного адреса совпадали с настоящим. Вы быстро взглянули, увидели совпадение — и нажали кнопку. В поддельной транзакции комиссия была указана как нулевая: расчёт был на то, что вы сочтёте перевод слишком медленным и захотите повысить комиссию. Изменили комиссию — пришлось подписывать транзакцию заново, и с этой подписью $BTC действительно ушли.⚠️
Команда Electrum получила два сообщения. 11 октября пользователь dannydeezy сообщил о подмене транзакции. 18 октября пользователь Raju-K12 сообщил, что после изменения комиссии его монеты пропали. Второе сообщение показывает, что кража монет действительно происходит, а не является лишь теоретическим риском.📩
В Electrum 4.8.3 добавили проверку подписей и для неподтверждённых переводов. Поддельные транзакции с несовпадающими подписями больше не попадут в историю кошелька. Скачивать кошелёк следует только с официального сайта electrum.org, а после установки нужно проверить подпись. Пользователи, которые самостоятельно запускают сервер, от этой атаки не пострадают.🛠
На мой взгляд, самое коварное в этой атаке на Electrum — злоумышленникам не нужно трогать приватный ключ. Он всё время оставался на вашем компьютере, а монеты всё равно пропали. Самое уязвимое место самостоятельного хранения — вы не знаете, что именно подписываете. Я поступаю очень просто: проверяю посимвольно сумму и адрес.🔐
📌 Старая версия Electrum отображала поддельную транзакцию как ожидающую оплаты. Повышение комиссии фактически означало подпись за вора. Уязвимость устранили только в версии 4.8.3.
После обновления вы будете проверять каждый символ адреса кошелька?
