Electrum: вредоносный сервер подменяет только что отправленную транзакцию, чтобы увести средства при повышении комиссии
По данным advisory, сервер, к которому подключён лёгкий клиент, может «проглотить» отправленную транзакцию и показать в истории конфликтующую подделку с теми же входами, но с выходом на адрес злоумышленника; подписи подделки не проверялись из-за дизайна лёгкого клиента. Если пользователь вручную повышает комиссию такой транзакции, он подписывает и оплачивает перевод атакующему. Разработчики сообщают, что часть серверов проводит эту атаку в реальности: получено два приватных сообщения от пользователей, один потерял средства; адрес подделки подбирался так, чтобы совпадали последние четыре символа легитимного. Исправление включено в версию 4.8.3 — клиент проверяет подписи своих (is_mine) входов у транзакций в мемпуле; «входящие» транзакции с чужими входами по-прежнему не валидируются. Ссылка на advisory в посте.
Касается пользователей Electrum, работающих через публичные серверы. Обновитесь до 4.8.3 (бинарники выпущены) без задержки. Пока не обновились: при подписании любой транзакции, в том числе при повышении комиссии, сверяйте адреса получателей и суммы — совпадение последних символов адреса ничего не подтверждает; если в истории вместо вашей транзакции появилась неизвестная, не повышайте ей комиссию. Кто подключается только к своему или доверенному серверу — не затронут; на 4.8.3 с этим исправлением дополнительных действий не требуется.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.