Bitcoin cüzdanı Electrum, kötü niyetli sunucuların kullanıcıları sahte bir işlemi imzalamaya yönlendirebildiği yüksek önem dereceli bir güvenlik açığını duyurdu. Geliştiriciler, saldırının gerçek ortamda kullanıldığını ve işlem ücretini artıran bir kullanıcının fon kaybettiğini bildirdi.
24 Ekim’de kamuya açılan güvenlik bülteni, 4.8.3’ten önceki bütün sürümleri etkilenmiş olarak listeliyor. Düzeltme 4.8.3 sürümünde bulunuyor. Ekibe iki özel bildirim ulaştı; bunlardan biri 11 Ekim’de, fon kaybını içeren diğeri ise 18 Ekim’de yapıldı. Kayıp tutarı açıklanmadı.
Electrum işlem geçmişine sahte kayıt eklenebiliyordu
Geliştiricilerin açıklamasına göre kötü niyetli bir sunucu, kullanıcının yayımladığı işlemi Bitcoin ağına iletmeden tutabiliyor. Ardından cüzdan geçmişine, alıcı adresi saldırgana ait olacak şekilde değiştirilmiş çakışan bir işlem yerleştirebiliyor.
Sahte işlemin imzaları geçersiz olsa da eski sürümler onaylanmamış işlemlerde bu kontrolü yapmıyordu. Kullanıcı, bekleyen işlemi hızlandırmak için RBF adı verilen ücret artırma özelliğini çalıştırdığında değiştirilmiş ödemeyi bu kez geçerli biçimde imzalamış oluyordu.
İki bildirimde de saldırgan adresinin son dört karakterinin gerçek alıcı adresiyle eşleştirildiği belirtildi. Yeni sürüm, cüzdana ait girdilerin imzalarını işlem geçmişine eklemeden önce doğruluyor. Ekip güncelleme önerirken kendi güvenilir sunucusuna bağlanan istemcilerin bu saldırıdan etkilenmediğini kaydetti.
Yatırım tavsiyesi değildir.