24 октября (UTC+8) в лёгком биткоин-кошельке Electrum публично раскрыли критическую уязвимость GHSA-6jp4-8v48-cc5v: она затрагивает все версии ниже 4.8.3. В тот же день выпустили установочный пакет 4.8.3, хотя git-тег датирован 23 октября. Злоумышленный сервер Electrum может сначала перехватить только что отправленную вами настоящую транзакцию, а затем подменить её конфликтующей фальшивой неподтверждённой транзакцией — подпись недействительна, но старые версии клиента её не проверяют. В интерфейсе остаётся только фальшивая транзакция, а адрес получателя уже заменён на адрес злоумышленника.
Ещё коварнее маскировка. Злоумышленники могут подобрать последние четыре цифры фальшивого адреса так, чтобы они совпадали с настоящим адресом получателя. В некоторых фальшивых транзакциях комиссия указана как нулевая — это рассчитано на то, чтобы заставить вас нажать «Повысить комиссию». Если вы используете RBF или bump_fee, кошелёк подпишет вашим приватным ключом уже настоящую платёжную транзакцию в пользу хакера. Разработчики получили два конфиденциальных сообщения об уязвимости; один из пользователей действительно потерял монеты после повышения комиссии. Некоторые серверы уже используют уязвимость в реальных атаках. Пользователи, которые запускают собственный узел или подключаются только к доверенным серверам, этой атаке не подвержены.
Начиная с версии 4.8.3 кошелёк проверяет подписи входов в мемпуле, расходующих ваши собственные монеты. Скачивайте Electrum только с сайта electrum.org и проверяйте подпись GPG. На момент подготовки материала спотовая цена $BTC на Binance составляла около 80 496 долларов; за 24 часа она снизилась примерно на 0,3%, а внутридневной минимум составил около 79 221 доллара.
#BTC #安全 #钱包 не является инвестиционной рекомендацией
Ещё коварнее маскировка. Злоумышленники могут подобрать последние четыре цифры фальшивого адреса так, чтобы они совпадали с настоящим адресом получателя. В некоторых фальшивых транзакциях комиссия указана как нулевая — это рассчитано на то, чтобы заставить вас нажать «Повысить комиссию». Если вы используете RBF или bump_fee, кошелёк подпишет вашим приватным ключом уже настоящую платёжную транзакцию в пользу хакера. Разработчики получили два конфиденциальных сообщения об уязвимости; один из пользователей действительно потерял монеты после повышения комиссии. Некоторые серверы уже используют уязвимость в реальных атаках. Пользователи, которые запускают собственный узел или подключаются только к доверенным серверам, этой атаке не подвержены.
Начиная с версии 4.8.3 кошелёк проверяет подписи входов в мемпуле, расходующих ваши собственные монеты. Скачивайте Electrum только с сайта electrum.org и проверяйте подпись GPG. На момент подготовки материала спотовая цена $BTC на Binance составляла около 80 496 долларов; за 24 часа она снизилась примерно на 0,3%, а внутридневной минимум составил около 79 221 доллара.
#BTC #安全 #钱包 не является инвестиционной рекомендацией