Нажал «Ускорить перевод» — и монеты пропали! Вот это подстава от старого биткоин-кошелька 😂
24 октября разработчики сообщили о критической уязвимости. Вы только что отправили перевод, а вредоносный сервер может перехватить его и не транслировать в сеть, а затем подложить в историю кошелька фальшивую транзакцию. Адрес получателя в ней специально подбирают так, чтобы последние 4 символа совпадали с настоящим адресом, а комиссия была почти нулевой — в расчёте на то, что вы нажмёте «Ускорить».
Старые версии кошелька не проверяют подпись этой неподтверждённой транзакции. Нажимаете RBF, чтобы повысить комиссию, — и подписываете уже настоящий перевод злоумышленнику. По словам разработчиков, такие серверы уже обнаружены в сети. Они получили два сообщения от пользователей, и один из них действительно потерял монеты, нажав «Ускорить». Уязвимы все версии до 4.8.3, исправление — в версии 4.8.3.
Тем, кто использует собственный доверенный узел, ничего не грозит. Остальным до обновления нужно при каждой подписи внимательно сверять адрес получателя и сумму целиком — не ограничивайтесь последними символами адреса. В крипте монеты иногда теряют из-за одного-единственного нажатия.
24 октября разработчики сообщили о критической уязвимости. Вы только что отправили перевод, а вредоносный сервер может перехватить его и не транслировать в сеть, а затем подложить в историю кошелька фальшивую транзакцию. Адрес получателя в ней специально подбирают так, чтобы последние 4 символа совпадали с настоящим адресом, а комиссия была почти нулевой — в расчёте на то, что вы нажмёте «Ускорить».
Старые версии кошелька не проверяют подпись этой неподтверждённой транзакции. Нажимаете RBF, чтобы повысить комиссию, — и подписываете уже настоящий перевод злоумышленнику. По словам разработчиков, такие серверы уже обнаружены в сети. Они получили два сообщения от пользователей, и один из них действительно потерял монеты, нажав «Ускорить». Уязвимы все версии до 4.8.3, исправление — в версии 4.8.3.
Тем, кто использует собственный доверенный узел, ничего не грозит. Остальным до обновления нужно при каждой подписи внимательно сверять адрес получателя и сумму целиком — не ограничивайтесь последними символами адреса. В крипте монеты иногда теряют из-за одного-единственного нажатия.