Electrum: баг позволял поддельным серверам красть биткоины через RBF

Разработчики биткоин-кошелька Electrum раскрыли уязвимость, из-за которой вредоносные серверы могли заставить пользователей подписать платёж в пользу злоумышленника при попытке ускорить транзакцию. По словам команды, как минимум в одном случае средства были похищены. О проблеме сообщили в субботу; некоторые серверы, как отмечается, уже использовали её в атаках.

Как работала атака

Electrum, в отличие от полного узла Bitcoin, получает историю транзакций и рассылает платежи через внешние серверы. До исправления кошелёк доверял этим серверам сведения о неподтверждённых транзакциях и не проверял их подписи.

Сервер атакующего мог перехватить платёж до попадания в сеть и подменить его в истории кошелька фальшивой транзакцией. Она тратила монеты пользователя в пользу адреса злоумышленника и содержала недействительные подписи, которые Electrum не распознавал.

Ловушка срабатывала, когда пользователь пытался ускорить «зависший» платёж с помощью Replace-by-Fee (RBF) — механизма замены неподтверждённой транзакции версией с более высокой комиссией. Electrum брал поддельную транзакцию и подписывал валидную замену, отправляя монеты атакующему. В одном из случаев у фальшивой транзакции вообще не было комиссии, поэтому она выглядела застрявшей. Кроме того, злоумышленники генерировали адреса, у которых последние четыре символа совпадали с настоящим адресом получателя, что затрудняло быструю проверку.

Сообщения и исправление

Первое сообщение поступило 11 октября: пользователь мультиподписного кошелька 2-из-3 с двумя устройствами Trezor проверил настоящий платёж на обоих устройствах, но позже заметил в истории другую исходящую транзакцию. О потере средств он не сообщал. Второй пользователь 18 октября рассказал, что повысил комиссию для подменённой транзакции и лишился денег. Сумму хищения и владельцев вредоносных серверов разработчики не назвали.

24 октября, спустя шесть дней после первой кражи, вышла версия 4.8.3: она проверяет подписи неподтверждённых транзакций, которые тратят монеты из собственного кошелька пользователя. Более ранние версии при подключении к вредоносным серверам остаются уязвимыми.

Разработчики советуют обновиться и перед подписанием внимательно сверять адреса получателей и суммы. Те, кто подключался только к доверенным серверам, включая собственные, этой атаке не подвергались.