To rapporter viste hvordan den falske transaksjonen fremsto
Utviklerne mottok rapporter datert 11 og 18 oktober. I det andre tilfellet tapte brukeren midler, selv om ingen beløp er publisert. Den ondsinnede serveren skjulte den ekte utgående betalingen og leverte en annen ubekreftet transaksjon med en mottakeradresse kontrollert av angriperen.
Den falske transaksjonen brukte et nullgebyr og en adresse der de fire siste tegnene samsvarte med den tiltenkte adressen. Da offeret forsøkte å øke gebyret via RBF, kunne den eldre klienten legge fram angriperens transaksjon for signering. Faren lå i å signere erstatningen, ikke i at en angriper eksternt tok kontroll over lommeboken.
Versjon 4.8.3 verifiserer utgående lommebokinndata
Oppdateringen kontrollerer lommebokens egne signaturer før den godtar en ubekreftet utgående transaksjon i historikken. Dette hindrer en ondsinnet server i å framstille den falske betalingen som lommebokens ekte transaksjon. Fiksen bruker ikke samme verifisering på alle innkommende ubekreftede transaksjoner, så brukerne må fortsatt behandle ukjente oppføringer med forsiktighet.
Kodefiksen ble fullført 23 oktober, og utgivelsen fulgte 24 oktober. Electrum anbefaler oppdateringen til alle brukere, selv om de vanligvis kobler til en klarert server. Det finnes ingen pålitelig offentlig sum for antall berørte lommebøker eller verdien som gikk tapt.
Sikkerhetssjekkliste
- Last ned bare fra electrum.org.
- Verifiser GPG-signaturen og utgivelsesnøkkelen.
- Kontroller hele adressen og beløpet før hver signering, også ved RBF.
Brukerne bør verifisere hele pakken og hver betaling
Versjon 4.8.3 bør bare lastes ned fra electrum.org. Skrivebordsbrukere bør verifisere GPG-signaturen og bekrefte at signeringsnøkkelen er den autentiske Electrum-utgivelsesnøkkelen. Før man godkjenner en betaling eller en RBF-erstatning, bør brukerne sammenligne hele mottakeradressen og beløpet, ikke bare de siste tegnene.
Prosjektet sier at en Windows-advarsel om ZXing.dll er en falsk positiv når den vises i den autentiske signerte pakken. Den uttalelsen gjør ikke en fil fra et annet nettsted trygg. Den praktiske responsen er å installere den offisielle oppdateringen, verifisere signaturen og nekte å signere enhver transaksjon der de fullstendige detaljene ikke samsvarer med den tiltenkte betalingen.
Denne artikkelen er kun for informasjon og er ikke investeringsrådgivning.
admin_wcBidragsyter · World-CryptMer fra
