محفظة بيتكوين إلكتروم تصلح ثغرة حرجة تحوّل الأموال إلى المهاجمين
نقلًا عن كوين ديسك، أصدرت محفظة بيتكوين إلكتروم الإصدار 4.8.3 في 24 أكتوبر لسد ثغرة حرجة سمحت لخوادم خبيثة بحقن معاملات مزورة وخداع المستخدمين لتحويل أموالهم إلى عناوين يسيطر عليها المهاجمون. وأكد مستخدم واحد على الأقل خسارة أمواله في 18 أكتوبر بعد دفعه رسومًا إضافية على معاملة عدّلها الخادم. وسيتحقق الإصلاح من توقيع مدخلات المحفظة نفسها قبل عرض المعاملات غير المؤكدة، بينما تظل المعاملات الواردة من مرسلين خارجيين دون تحقق. جاء الإصلاح نهاية الأسبوع بعد أن أتاحت الثغرة لخوادم ضارة التلاعب بمعاملات بيتكوين المعلقة وإعادة توجيه الأموال إلى عناوين المهاجمين. وتأثرت كل الإصدارات السابقة للإصدار 4.8.3، وأصبح الإصدار المحدث متاحًا للتنزيل. وإلكتروم من أقدم محافظ بيتكوين البرمجية. استغل الهجوم نموذج الثقة الذي تعتمده المحفظة مع المعاملات غير المؤكدة. فعندما يبث المستخدم دفعة عبر خادم مخترق، يمكن للخادم حجب المعاملة الشرعية وحقن معاملة مزورة متعارضة تعرض عنوان مخرجات المهاجم ورسومًا صفرية، لتبدو الدفعة عالقة. ولأن إلكتروم لا يتحقق من توقيعات المعاملات غير المؤكدة الواردة من الخادم، تظهر المعاملة المزورة في سجل المحفظة كمعاملة شرعية. وعندما يرفع المستخدم الرسوم على دفعة تبدو متعطلة، يوقّع ويبث معاملة جديدة صالحة عنوان مخرجاتها للمهاجم. ولم تُرسل الدفعة الأصلية قط؛ والمعاملة بعد رفع الرسوم هي أول ما يدخل الشبكة، وهي التي تدفع للمهاجم. وذكر إعلان المطور SomberNight أن المهاجمين يستطيعون تعديل عنوان مخرجات المعاملة المزورة ليطابق آخر أربعة أحرف من العنوان الذي يقصده المستخدم. وبذلك يرى من يفحص نهاية عنوان بيتكوين الطويل فقط ما يبدو مطابقًا. وقال الإعلان إن بعض الخوادم تنفذ هذا الهجوم فعليًا، وهو ما دعمه تقريران لمستخدمين. وأبلغ المستخدم dannydeezy أولًا عن سلوك مشبوه للخادم في 11 أكتوبر؛ ولم تُفقد أموال لأن المعاملات المعدلة لم تنتشر خارج الخادم المحلي. أما المستخدم RajuK12 فأبلغ عن خسارة مؤكدة في 18 أكتوبر بعد دفعه رسومًا إضافية لتصحيح معاملة معدلة. ويغلق الإصلاح في الإصدار 4.8.3 أحد نواقل الهجوم الرئيسية عبر التحقق من التوقيعات التشفيرية لمدخلات المحفظة نفسها قبل إضافة أي معاملة غير مؤكدة إلى السجل المحلي. ولم يعد بمقدور الخادم حقن معاملات مزورة تخص عنوان المستخدم دون تقديم توقيعات صالحة لا يستطيع المهاجمون تزويرها. وسُجل الإصلاح في مستودع الشيفرة في 23 أكتوبر، وصدر الملف التنفيذي في اليوم التالي. غير أن المعاملات الواردة من مرسلين خارجيين، أي التي لا تتضمن مدخلات تابعة لمحفظة المستخدم، ما زالت تُقبل دون التحقق من التوقيع. وأقر SomberNight بهذه الثغرة في الإعلان وقال إن هناك عملًا إضافيًا مطلوبًا لسدها. وليست هذه المرة الأولى التي تواجه فيها إلكتروم حادثًا مماثلًا. في عام 2018، استُخدمت خوادم مزورة في هجوم خبيث لبث إشعارات تحديث كاذبة؛ وبحلول 2020 قُدر أن هذه الهجمات سرقت 25 مليون دولار من مستخدمي إلكتروم. ويجعل نموذج الخادم المفتوح في إلكتروم، حيث يستطيع أي شخص تشغيل عقدة، هذه الهجمات ممكنة. ولا يتأثر المستخدمون المتصلون بخوادمهم الخاصة فقط. على المستخدمين غير القادرين على التحديث فورًا التحقق يدويًا من عنوان المخرجات والمبلغ قبل توقيع أي معاملة؛ ويتاح إلكتروم 4.8.3 على electrum.org وعلى GitHub الخاص بالمشروع.
