#electrum修复4.8.3前版本高危漏洞
Cả 62 chữ ký đều xác minh thành công, nhưng địa chỉ nhận lại không phải của bạn
📣 盘面异动群里喊
Ví Bitcoin lâu đời Electrum đã phát hành bản cập nhật bảo mật 4.8.3 vào ngày 24 tháng 10. Thông báo chính thức xếp lỗ hổng này ở mức High, ảnh hưởng đến tất cả phiên bản trước 4.8.3. Lỗ hổng chưa được cấp mã CVE, nhưng thông báo có một câu rất nghiêm trọng: đã có máy chủ thực sự làm điều này trong môi trường thực tế 🦖
Bạn thường dùng ví nhẹ, không tải toàn bộ blockchain, mà chỉ tin vào số dư và giao dịch do một máy chủ cung cấp. Tài liệu chính thức nói đây là một sự đánh đổi có chủ đích. Vấn đề là điều đó đã bị biến thành vũ khí ⚠️
Kẻ tấn công kiểm soát máy chủ mà bạn kết nối. Bạn nhấn phát giao dịch trong ví, máy chủ nuốt mất giao dịch thật khiến nó không hề vào mempool. Sau đó, máy chủ nhét vào ví bạn một giao dịch giả. Giao dịch này có đầu vào, phiên bản và thời gian khóa hoàn toàn giống giao dịch bạn vừa tạo; các tập lệnh chữ ký của 31 đầu vào giống nhau từng byte. Điểm khác biệt duy nhất là địa chỉ đầu ra đã bị đổi thành địa chỉ của kẻ tấn công. Địa chỉ giả này còn được tính toán lặp đi lặp lại, chỉ để 4 ký tự cuối trùng khớp hoàn toàn với địa chỉ bạn thực sự muốn chuyển đến.
Tất cả chữ ký của giao dịch giả đều không hợp lệ, nhưng ví nhẹ không xác minh tập lệnh nên không phát hiện được. Vì vậy, giao dịch thật biến mất khỏi lịch sử, chỉ còn lại một giao dịch giả chưa xác nhận. Số tiền trông đúng bằng khoản bạn định gửi. Kẻ lừa đảo còn đặt phí giao dịch gần như bằng 0, chỉ chờ bạn thấy giao dịch bị kẹt rồi tự tay nhấn tăng phí.
Khi bạn nhấn tăng phí, ví sẽ ký giao dịch giả đó. Chính tay bạn đã ký chuyển tiền cho kẻ tấn công 💥
Thông báo nêu hai trường hợp có thật. Ngày 11 tháng 10, người dùng đầu tiên báo cáo riêng tư. Người này dùng ví đa chữ ký kiểu cũ 2-of-3, hai ví cứng Trezor, 31 đầu vào và 1 đầu ra. Họ đã kiểm tra địa chỉ trên màn hình của cả hai thiết bị trước khi phát giao dịch. Thế nhưng, lịch sử lại xuất hiện một giao dịch chưa xác nhận gửi đến địa chỉ lạ. Ngày 18 tháng 10, người dùng thứ hai báo cáo rằng họ đã tăng phí và tiền thực sự biến mất. Chỉ mất 12 ngày từ báo cáo đầu tiên đến khi gắn nhãn phiên bản 4.8.3, và 13 ngày để phát hành tệp nhị phân.
Theo tôi, điểm mấu chốt ở đây không phải là Electrum viết sai mã, mà là một ranh giới mà mọi người đều mặc định: máy chủ bạn tin tưởng thực chất chính là sổ cái của bạn. Nó cho bạn xem gì, bạn sẽ cho rằng điều đó đã xảy ra. Lần này, câu nói ấy đã biến thành một con đường tấn công có thể thực thi.
Bản 4.8.3 đã sửa lỗi, nhưng cũng chỉ xác minh các đầu vào thuộc về chính ví của bạn. Các giao dịch người khác gửi cho bạn vẫn không được xác minh, vì máy khách nhẹ không có bộ máy đồng thuận hoàn chỉnh. Chính Electrum cũng thừa nhận rằng để bao phủ phần này thì phải xác minh đệ quy các giao dịch cha chưa được xác nhận, mà chi phí quá lớn.
Có thể làm ba việc: nâng cấp ngay lên 4.8.3; luôn kiểm tra địa chỉ đầu ra và số tiền trước khi tăng phí; về lâu dài, tự chạy một máy chủ. Electrum nói rõ người dùng kết nối với máy chủ của chính mình không bị ảnh hưởng bởi lỗ hổng này.
Bạn thường dùng ví nhẹ hay tự chạy nút? Cùng thảo luận ở phần bình luận nhé.
Nhấn vào ảnh đại diện để xem livestream
Mỗi ngày, cùng bạn theo dõi các chủ đề nóng về bảo mật Bitcoin. Không chỉ cập nhật tin tức, mà còn giúp bạn hiểu logic và cơ hội phía sau 👀🚀
Cả 62 chữ ký đều xác minh thành công, nhưng địa chỉ nhận lại không phải của bạn
📣 盘面异动群里喊
Ví Bitcoin lâu đời Electrum đã phát hành bản cập nhật bảo mật 4.8.3 vào ngày 24 tháng 10. Thông báo chính thức xếp lỗ hổng này ở mức High, ảnh hưởng đến tất cả phiên bản trước 4.8.3. Lỗ hổng chưa được cấp mã CVE, nhưng thông báo có một câu rất nghiêm trọng: đã có máy chủ thực sự làm điều này trong môi trường thực tế 🦖
Bạn thường dùng ví nhẹ, không tải toàn bộ blockchain, mà chỉ tin vào số dư và giao dịch do một máy chủ cung cấp. Tài liệu chính thức nói đây là một sự đánh đổi có chủ đích. Vấn đề là điều đó đã bị biến thành vũ khí ⚠️
Kẻ tấn công kiểm soát máy chủ mà bạn kết nối. Bạn nhấn phát giao dịch trong ví, máy chủ nuốt mất giao dịch thật khiến nó không hề vào mempool. Sau đó, máy chủ nhét vào ví bạn một giao dịch giả. Giao dịch này có đầu vào, phiên bản và thời gian khóa hoàn toàn giống giao dịch bạn vừa tạo; các tập lệnh chữ ký của 31 đầu vào giống nhau từng byte. Điểm khác biệt duy nhất là địa chỉ đầu ra đã bị đổi thành địa chỉ của kẻ tấn công. Địa chỉ giả này còn được tính toán lặp đi lặp lại, chỉ để 4 ký tự cuối trùng khớp hoàn toàn với địa chỉ bạn thực sự muốn chuyển đến.
Tất cả chữ ký của giao dịch giả đều không hợp lệ, nhưng ví nhẹ không xác minh tập lệnh nên không phát hiện được. Vì vậy, giao dịch thật biến mất khỏi lịch sử, chỉ còn lại một giao dịch giả chưa xác nhận. Số tiền trông đúng bằng khoản bạn định gửi. Kẻ lừa đảo còn đặt phí giao dịch gần như bằng 0, chỉ chờ bạn thấy giao dịch bị kẹt rồi tự tay nhấn tăng phí.
Khi bạn nhấn tăng phí, ví sẽ ký giao dịch giả đó. Chính tay bạn đã ký chuyển tiền cho kẻ tấn công 💥
Thông báo nêu hai trường hợp có thật. Ngày 11 tháng 10, người dùng đầu tiên báo cáo riêng tư. Người này dùng ví đa chữ ký kiểu cũ 2-of-3, hai ví cứng Trezor, 31 đầu vào và 1 đầu ra. Họ đã kiểm tra địa chỉ trên màn hình của cả hai thiết bị trước khi phát giao dịch. Thế nhưng, lịch sử lại xuất hiện một giao dịch chưa xác nhận gửi đến địa chỉ lạ. Ngày 18 tháng 10, người dùng thứ hai báo cáo rằng họ đã tăng phí và tiền thực sự biến mất. Chỉ mất 12 ngày từ báo cáo đầu tiên đến khi gắn nhãn phiên bản 4.8.3, và 13 ngày để phát hành tệp nhị phân.
Theo tôi, điểm mấu chốt ở đây không phải là Electrum viết sai mã, mà là một ranh giới mà mọi người đều mặc định: máy chủ bạn tin tưởng thực chất chính là sổ cái của bạn. Nó cho bạn xem gì, bạn sẽ cho rằng điều đó đã xảy ra. Lần này, câu nói ấy đã biến thành một con đường tấn công có thể thực thi.
Bản 4.8.3 đã sửa lỗi, nhưng cũng chỉ xác minh các đầu vào thuộc về chính ví của bạn. Các giao dịch người khác gửi cho bạn vẫn không được xác minh, vì máy khách nhẹ không có bộ máy đồng thuận hoàn chỉnh. Chính Electrum cũng thừa nhận rằng để bao phủ phần này thì phải xác minh đệ quy các giao dịch cha chưa được xác nhận, mà chi phí quá lớn.
Có thể làm ba việc: nâng cấp ngay lên 4.8.3; luôn kiểm tra địa chỉ đầu ra và số tiền trước khi tăng phí; về lâu dài, tự chạy một máy chủ. Electrum nói rõ người dùng kết nối với máy chủ của chính mình không bị ảnh hưởng bởi lỗ hổng này.
Bạn thường dùng ví nhẹ hay tự chạy nút? Cùng thảo luận ở phần bình luận nhé.
Nhấn vào ảnh đại diện để xem livestream
Mỗi ngày, cùng bạn theo dõi các chủ đề nóng về bảo mật Bitcoin. Không chỉ cập nhật tin tức, mà còn giúp bạn hiểu logic và cơ hội phía sau 👀🚀