أهم النقاط
- يعالج Electrum 4.8.3 ثغرة أمنية أثرت في جميع الإصدارات السابقة.
- استبدلت خوادم خبيثة معاملات غير مؤكدة بمعاملات توجه الأموال إلى عناوين المهاجمين.
- أكد بلاغ ثانٍ فقدان أموال بعد الموافقة على رفع رسوم معاملة.
- يوصى بالتحديث من electrum.org والتحقق من العنوان والمبلغ قبل التوقيع.
أصدرت محفظة بيتكوين Electrum الإصدار 4.8.3 لمعالجة ثغرة أمنية عالية الخطورة قالت إن خوادم خبيثة استغلتها لسرقة أموال. ودعت المستخدمين إلى التحديث فوراً.
تؤثر الثغرة في جميع إصدارات Electrum السابقة وتتعلق بكيفية تعامل المحفظة مع المعاملات غير المؤكدة، وفق الاستشارة الأمنية GHSA-6jp4-8v48-cc5v. وكان الخادم الخبيث يستطيع اعتراض دفعة مشروعة ومنع بثها، ثم استبدالها بمعاملة احتيالية توجه بيتكوين إلى عنوان يسيطر عليه المهاجم.
سعر BTC والرسم المباشر
ظهرت المعاملة المستبدلة في المحفظة كدفعة معلقة عادية رغم احتوائها على توقيعات غير صالحة. وبلغ الخداع ذروته عند محاولة المستخدم رفع رسوم المعاملة عبر ميزة استبدال المعاملة مقابل رسوم أعلى (RBF)، إذ قد يوقّع المستخدم المعاملة البديلة بدلاً من زيادة رسوم الدفع الأصلي، ما يجيز التحويل إلى المهاجم.
وتلقت التطويرات بلاغين خاصين: الأول في 11 أكتوبر بشأن استبدال معاملة، والثاني في 18 أكتوبر عن فقدان أموال بعد الموافقة على رفع الرسوم. كما استخدم المهاجمون عناوين تتطابق آخر أربعة أحرف منها مع عنوان الوجهة المقصود، ما قد يجعل المقارنة السريعة أقل قدرة على كشف التبديل.
يفرض الإصدار 4.8.3 التحقق من توقيعات المعاملات غير المؤكدة التي تنفق عملات تخص المحفظة، ويرفض المعاملات الاحتيالية قبل إضافتها إلى السجل المحلي. وتنصح Electrum مستخدمي الإصدارات الأقدم بتنزيل التحديث حصراً من electrum.org والتحقق من توقيعاته التشفيرية، مع فحص عنوان الوجهة والمبلغ قبل كل توقيع، بما في ذلك عند تعديل الرسوم.
ولا ينطبق هذا الهجوم القائم على الخادم على المستخدمين الذين يتصلون حصراً بخوادم Electrum موثوقة ومستضافة ذاتياً، بحسب المصدر.
ما الذي لا يزال غير معلوم؟
يؤكد المصدر وقوع فقدان أموال في بلاغ واحد على الأقل، لكنه لا يحدد قيمة الأموال المسروقة أو عدد المستخدمين المتضررين. كما أن الحماية الجديدة تستهدف التحقق من توقيعات المعاملات غير المؤكدة قبل ظهورها في السجل المحلي للمحفظة.
