Два сообщения показали, как появилась ложная транзакция
Разработчики получили сообщения от 11 и 18 октября. Во втором случае пользователь потерял средства, хотя сумма не опубликована. Вредоносный сервер скрыл реальный исходящий платёж и предоставил другую неподтверждённую транзакцию с адресом получателя, контролируемым злоумышленником.
В ложной транзакции использовалась нулевая комиссия и адрес, последние четыре символа которого совпадали с нужным адресом. Когда жертва попыталась повысить комиссию через RBF, старый клиент мог предложить на подпись транзакцию злоумышленника. Опасность заключалась в подписании замены, а не в удалённом захвате кошелька злоумышленником.
Версия 4.8.3 проверяет исходящие входы кошелька
Обновление проверяет собственные подписи кошелька, прежде чем принять неподтверждённую исходящую транзакцию в его историю. Это не позволяет вредоносному серверу выдать ложный платёж за подлинную транзакцию кошелька. Исправление не применяет ту же проверку ко всем входящим неподтверждённым транзакциям, поэтому пользователям по-прежнему следует осторожно относиться к незнакомым записям.
Исправление кода было завершено 23 октября, а релиз вышел 24 октября. Electrum рекомендует обновление всем пользователям, даже если они обычно подключаются к доверенному серверу. Надёжных публичных данных об общем числе затронутых кошельков или потерянной сумме нет.
Чек-лист безопасности
- Загружайте только с electrum.org.
- Проверьте подпись GPG и ключ релиза.
- Проверяйте полный адрес и сумму перед каждой подписью, в том числе при RBF.
Пользователям следует проверять полный пакет и каждый платёж
Версию 4.8.3 следует загружать только с electrum.org. Пользователям настольных компьютеров следует проверить подпись GPG и убедиться, что ключ подписи является подлинным ключом релиза Electrum. Перед одобрением любого платежа или замены RBF пользователям следует сравнивать полный адрес получателя и сумму, а не только последние символы.
Проект утверждает, что предупреждение Windows о ZXing.dll является ложным срабатыванием, если оно появляется в подлинном подписанном пакете. Это утверждение не делает файл с другого сайта безопасным. Практический ответ — установить официальное обновление, проверить подпись и отказаться подписывать любую транзакцию, полные реквизиты которой не совпадают с предполагаемым платежом.
Эта статья носит информационный характер и не является инвестиционной рекомендацией.
admin_wcАвтор · World-CryptЕщё от
