🚨 Повышение комиссии за транзакцию может отправить ваши $BTC мошеннику.
Electrum раскрыла уязвимость, из-за которой обычное ускорение транзакции могло привести к краже.
Злоумышленный сервер мог скрыть исходный платёж и показать поддельную транзакцию, указывающую на адрес злоумышленника. Её подписи были недействительны, но старые версии кошелька их не проверяли.
Когда пользователь повышал комиссию с помощью Replace-by-Fee (RBF), кошелёк подписывал подменённую транзакцию, подтверждая платёж злоумышленнику.
Чтобы замаскировать подмену, злоумышленники создавали адреса, совпадающие с последними четырьмя символами адреса предполагаемого получателя. Разработчики получили два сообщения об уязвимости, в том числе одно о потере средств.
✅ Исправление доступно в Electrum 4.8.3. Обновите кошелёк до следующей транзакции. Скачивайте его только с electrum.org и проверяйте GPG-подпись установщика.
Мой вывод: самостоятельное хранение средств требует внимательно проверять, что именно вы подписываете. Даже привычное действие «повысить комиссию» — повод ещё раз проверить адрес получателя целиком и сумму. Совпадения четырёх символов недостаточно.
Этот инцидент касается безопасности кошельков и доверия к серверам. Базовый протокол Bitcoin не был скомпрометирован.
$BTC
Electrum раскрыла уязвимость, из-за которой обычное ускорение транзакции могло привести к краже.
Злоумышленный сервер мог скрыть исходный платёж и показать поддельную транзакцию, указывающую на адрес злоумышленника. Её подписи были недействительны, но старые версии кошелька их не проверяли.
Когда пользователь повышал комиссию с помощью Replace-by-Fee (RBF), кошелёк подписывал подменённую транзакцию, подтверждая платёж злоумышленнику.
Чтобы замаскировать подмену, злоумышленники создавали адреса, совпадающие с последними четырьмя символами адреса предполагаемого получателя. Разработчики получили два сообщения об уязвимости, в том числе одно о потере средств.
✅ Исправление доступно в Electrum 4.8.3. Обновите кошелёк до следующей транзакции. Скачивайте его только с electrum.org и проверяйте GPG-подпись установщика.
Мой вывод: самостоятельное хранение средств требует внимательно проверять, что именно вы подписываете. Даже привычное действие «повысить комиссию» — повод ещё раз проверить адрес получателя целиком и сумму. Совпадения четырёх символов недостаточно.
Этот инцидент касается безопасности кошельков и доверия к серверам. Базовый протокол Bitcoin не был скомпрометирован.
$BTC
