اگر هنگام انتقال بیت‌کوین، تراکنش شما در شبکه گیر کند، راه‌حل معمول این است که کارمزد را کمی بالا ببرید تا سریع‌تر تأیید شود؛ اما یک آسیب‌پذیری تازه کشف‌شده در کیف‌پول قدیمی و محبوب «الکتروم» (Electrum) نشان می‌دهد که همین کار ساده، به تله‌ای برای سرقت بیت‌کوین تبدیل شده است.
این تله چطور کار می‌کند؟
برخلاف گره‌های کامل بلاکچین که اطلاعات را مستقلاً بررسی می‌کنند، کیف‌پول الکتروم برای دریافت تاریخچه تراکنش‌ها و ارسال پرداخت‌ها به سرورهای بیرونی متکی است. پیش از انتشار وصله امنیتی، الکتروم گزارش این سرورها درباره تراکنش‌های تأییدنشده را بدون بررسی صحت امضای دیجیتال می‌پذیرفت.
اگر مهاجم کنترل یکی از این سرورها را در دست می‌گرفت، می‌توانست پرداخت کاربر را پیش از رسیدن به شبکه بیت‌کوین رهگیری کند و در تاریخچه کیف‌پول، یک تراکنش جعلی با امضای نامعتبر را به‌جای آن نشان دهد. برای طبیعی‌تر شدن ماجرا، کارمزد این تراکنش جعلی هم صفر تنظیم می‌شد تا کاربر تصور کند تراکنش گیر کرده است.
تله زمانی فعال می‌شد که کاربر برای رفع این توقف از قابلیت «جایگزینی با کارمزد» (Replace-by-Fee) استفاده می‌کرد. الکتروم همان تراکنش جعلی را مبنا قرار می‌داد و کاربر، هنگام امضای تراکنش جدید برای پرداخت کارمزد بیشتر، در عمل بیت‌کوین‌ها را به آدرس هکر می‌فرستاد.
مهاجمان حتی با روش «آدرس‌سازی سفارشی» (VAG)، چهار حرف پایانی آدرس مقصد را شبیه آدرس واقعی می‌ساختند تا کاربر با یک نگاه سریع به تفاوت آن‌ها پی نبرد.
از کشف حفره تا انتشار وصله امنیتی
توسعه‌دهندگان الکتروم در ماه جاری دو گزارش درباره این مشکل دریافت کردند. نخستین گزارش در ۱۱ اکتبر از سوی کاربری با کیف‌پول چندامضایی متکی بر دو دستگاه سخت‌افزاری ثبت شد. این کاربر پیش از سرقت متوجه شده بود که تراکنش خروجی در تاریخچه کیف‌پول تغییر کرده است.
گزارش دوم در ۱۸ اکتبر ثبت شد و این بار افزایش کارمزد به سرقت دارایی منجر شد؛ هرچند مبلغ سرقت‌شده و هویت سرورهای مخرب اعلام نشده است.
توسعه‌دهندگان با انتشار نسخه ۴.۸.۳ الکتروم و اضافه‌کردن بررسی امضا برای تراکنش‌های تأییدنشده، این آسیب‌پذیری را برطرف کردند. با این حال، نسخه‌های قدیمی‌تر همچنان آسیب‌پذیرند.
اگر از این کیف‌پول استفاده می‌کنید:
- برای امنیت دارایی خود کیف‌پول الکتروم را به نسخه ۴.۸.۳ یا بالاتر به‌روزرسانی کنید.
- پیش از تأیید هر تراکنش، فقط به چهار حرف پایانی آدرس نگاه نکنید و کل آدرس گیرنده و مبلغ را بررسی کنید.
آدرس مطلب: https://nooshdaroo.ir/crypto-security/electrum-wallet-fee-bump-bitcoin-theft/
