В Electrum закрыли дыру, из-за которой пользователи теряли BTC

Разработчики кошелька Electrum 24 октября выпустили версию 4.8.3, которая закрывает уязвимость высокой степени опасности. Через неё вредоносный сервер мог подменить платёж пользователя, а при попытке ускорить транзакцию (Replace-by-Fee, RBF) владелец сам подписывал кражу. По бюллетеню безопасности, затронуты все версии до 4.8.3.

Подробности

Схема, как её описывает бюллетень, выглядит так. Пользователь отправляет обычную транзакцию, но сервер, к которому подключён кошелёк, не передаёт её в сеть. Вместо неё он создаёт поддельную с теми же входами, но с адресом получателя злоумышленника. В истории кошелька отображается именно подделка, а настоящий платёж остаётся скрытым. Когда пользователь замечает, что транзакция не подтверждается, и нажимает ускорение комиссии, он подписывает транзакцию атакующего с более высокой комиссией.

В бюллетене описаны два обращения. В одном пострадавший заметил подмену до потери денег, во втором человек завершил ускорение и потерял средства. Сумма потерь в источниках не названа. По данным Bitcoin.com, адреса получателей подбирались так, чтобы последние символы совпадали с настоящим адресом назначения; другие подробности — в материале издания.

Причина — кошелёк не проверял подписи неподтверждённых транзакций, которые тратят его собственные монеты. Исправление добавляет такую проверку. Обновление доступно на electrum.org.

Что это значит для рынка

Для цены биткоина событие не значимо, но оно напоминает о слабом месте легковесных кошельков: они доверяют серверу данные о транзакциях. Пользователям Electrum стоит обновиться до 4.8.3 и не ускорять комиссию по транзакции, которой нет в обозревателе блоков. Курс BTC смотрите в сводке дня и на странице Bitcoin. Это не инвестиционный совет.