Bảo Mật Ví Bitcoin Electrum Bị Đe Dọa
Một máy chủ ví Bitcoin độc hại có thể âm thầm thay thế một khoản thanh toán hợp pháp bằng giao dịch của kẻ trộm, sau đó chờ chủ sở hữu phê duyệt vụ trộm. Bản vá bảo mật mới nhất của Electrum đã khắc phục lỗ hổng này sau khi những kẻ tấn công khai thác lỗi và đánh cắp tiền.
Phiên Bản Cập Nhật và Lỗ Hổng
Electrum đã phát hành phiên bản 4.8.3 vào thứ Bảy, cảnh báo người dùng nâng cấp ngay lập tức sau khi các nhà phát triển phát hiện ra rằng các máy chủ độc hại đang khai thác một lỗ hổng nghiêm trọng ảnh hưởng đến mọi phiên bản trước đó. Lỗi này, được ghi lại trong thông báo GitHub GHSA-6jp4-8v48-cc5v, đã khai thác cách mà ví Bitcoin nhẹ xử lý các giao dịch chưa được xác nhận.
Electrum phụ thuộc vào các máy chủ bên ngoài để có lịch sử giao dịch, ước tính phí và phát sóng thanh toán. Trong khi nó kiểm tra độc lập các giao dịch đã được xác nhận, các phiên bản cũ hơn đã chấp nhận một số giao dịch chưa được xác nhận mà không xác minh chữ ký của chúng. Những kẻ tấn công đã biến sự phân biệt đó thành một cái bẫy.
Cách Thức Tấn Công
Một máy chủ bị xâm phạm có thể chặn một khoản thanh toán hợp pháp, ngăn chặn việc phát sóng của nó và thay thế bằng một giao dịch giả mạo chỉ đạo tiền đến một địa chỉ Bitcoin do kẻ tấn công kiểm soát. Sự thay thế này mang chữ ký không hợp lệ, nhưng Electrum vẫn hiển thị nó như một khoản thanh toán đang chờ xử lý bình thường.
Mánh khóe này trở nên nguy hiểm khi người dùng cố gắng tăng phí giao dịch thông qua Replace-By-Fee (RBF). Thay vì tăng phí cho khoản thanh toán ban đầu của họ, các nạn nhân có thể vô tình ký vào giao dịch đã được thay thế, ủy quyền cho việc chuyển Bitcoin của chính họ đến kẻ tấn công.
Sự lừa dối còn đi xa hơn. Những kẻ tấn công đã tạo ra các địa chỉ nhận mà bốn ký tự cuối cùng khớp với đích dự kiến, làm cho việc so sánh địa chỉ nhanh chóng ít có khả năng phát hiện sự chuyển đổi. Một giao dịch giả mạo thậm chí còn mang phí bằng không, rõ ràng khuyến khích nạn nhân của nó khởi xướng điều chỉnh phí cần thiết để hoàn thành vụ trộm.
Phản Hồi và Bản Vá
Các nhà phát triển đã nhận được hai báo cáo riêng tư. Vào ngày 11 tháng 10, người dùng dannydeezy đã báo cáo việc thay thế giao dịch, mặc dù cơ chế tăng phí chưa được hiểu rõ hoàn toàn. Vào ngày 18 tháng 10, Raju-K12 đã báo cáo mất tiền sau khi phê duyệt tăng phí. Báo cáo thứ hai xác nhận rằng cuộc tấn công không chỉ là lý thuyết.
Bản vá, được giới thiệu thông qua cam kết 90fe308, yêu cầu Electrum xác minh chữ ký cho các giao dịch chưa được xác nhận chi tiêu đồng thuộc về ví. Các giao dịch giả mạo với chữ ký không hợp lệ sẽ bị từ chối trước khi vào lịch sử cục bộ của ví.
Khuyến Cáo Cho Người Dùng
Người dùng đang chạy các phiên bản trước 4.8.3 nên tải xuống bản cập nhật chỉ từ electrum.org và xác minh chữ ký mật mã của nó. Cho đến khi nâng cấp, người dùng nên kiểm tra cẩn thận từng địa chỉ đích và số tiền thanh toán trước khi ký, bao gồm cả trong quá trình điều chỉnh phí.
Những người kết nối chỉ với các máy chủ Electrum đáng tin cậy, tự lưu trữ sẽ không bị phơi bày trước cuộc tấn công dựa trên máy chủ này. Sự cố này phơi bày một mâu thuẫn thú vị: Một ví được thiết kế để bảo vệ khóa riêng vẫn có thể bị thao túng để yêu cầu một chữ ký hoàn toàn hợp lệ cho một khoản thanh toán mà chủ sở hữu không bao giờ có ý định thực hiện.
Nhà sản xuất ví phần cứng Keystone đã công bố một vụ vi phạm dữ liệu khách hàng vào thứ Bảy, sau khi truy cập trái phép vào trang web của họ đã phơi bày tên, địa chỉ giao hàng…
