Bitcoin cüzdanı Electrum’daki bir güvenlik açığı, işlemini hızlandırmak için ücreti artıran en az bir kullanıcının Bitcoin’lerini saldırgana göndermesine yol açtı.
CoinDesk’in aktardığına göre Electrum geliştiricileri, kötü niyetli sunucuların açığı kullandığını ve ekim ayında iki ayrı bildirim aldıklarını açıkladı. Bunlardan birinde para kaybı yaşanırken açık, 24 Ekim’de yayımlanan 4.8.3 sürümüyle kapatıldı.
Bitcoin’in en eski yazılım cüzdanlarından Electrum, işlem geçmişini almak ve ödemeleri ağa iletmek için harici sunuculara bağlanıyor. Sorunun kaynağı, cüzdanın kullanıcının coinlerini harcayan henüz onaylanmamış işlemlerde imza doğrulaması yapmamasıydı.
İşlemi hızlandırma seçeneği nasıl tuzağa dönüştü?
Saldırganın kontrolündeki bir sunucu, gerçek ödeme Bitcoin ağına ulaşmadan önce cüzdan geçmişine sahte bir işlem yerleştirebiliyordu. Coinleri saldırganın adresine yönlendiren bu işlemin imzaları geçersizdi; ancak Electrum bunu tespit edemediği için ödemeyi beklemede gösteriyordu.
Tuzak, kullanıcının işlemi hızlandırmak istemesiyle devreye giriyordu. Bitcoin’de Replace-by-Fee (RBF) adı verilen özellik, uygun bir bekleyen işlemin daha yüksek ücretli bir sürümle değiştirilmesine olanak tanıyor. Electrum, ücret artırımı sırasında sahte işlemi temel alıp bu kez geçerli biçimde imzalayabiliyor ve Bitcoin’leri saldırgana gönderebiliyordu.
Bildirilen vakalardan birinde sahte işlemin ücreti sıfırdı; bu da ödemenin takılmış gibi görünmesine neden oluyordu. Saldırganlar ayrıca alıcı adresinin son dört karakterini gerçek adresle eşleştirerek hızlı bir kontrolde değişikliğin fark edilmesini zorlaştırdı.
Güncelleme yayımlandı, eski sürümlerde risk sürüyor
11 Ekim’de gelen ilk bildirim, üç anahtardan ikisinin onayını gerektiren ve iki Trezor cihazının kullanıldığı çoklu imzalı bir cüzdanla ilgiliydi. Kullanıcı, gerçek ödemeyi iki cihazda da kontrol etmesine rağmen cüzdan geçmişinde farklı bir işlem gördü; para kaybı bildirmedi.
18 Ekim’de bildirim yapan ikinci kullanıcı ise değiştirilmiş işlemin ücretini artırdıktan sonra parasını kaybetti. Çalınan tutar ve kötü niyetli sunucuların kimlikleri açıklanmadı.
Electrum 4.8.3, cüzdandaki coinleri harcayan onaysız işlemlere imza kontrolü ekledi. Önceki sürümler kötü niyetli sunuculara bağlandıklarında saldırıya açık kalıyor. Geliştiriciler, cüzdanın güncellenmesini ve işlem imzalanmadan önce alıcı adresi ile tutarın kontrol edilmesini öneriyor. Yalnızca kendi sunucuları dahil güvendikleri sunuculara bağlanan kullanıcıların bu saldırıya maruz kalmadığı belirtildi.
Yatırım tavsiyesi değildir.
