Команда популярного биткоин-кошелька Electrum оперативно выпустила срочный релиз 4.8.3, ликвидирующий опасную брешь в безопасности, которой киберпреступники уже воспользовались для хищения средств пользователей.
Схема атаки эксплуатировала архитектурную особенность Electrum, использующего протокол упрощенной проверки платежей (SPV). Поскольку кошелек полагается на внешние серверы для синхронизации данных, он исторически доверял информации о неподтвержденных транзакциях, поступающей от подключенной ноды, не проводя предварительную криптографическую валидацию подписей.
Злоумышленники использовали скомпрометированные или подконтрольные серверы для перехвата исходящего платежа еще до его попадания в мемпул сети Биткоин. Скрывая от пользователя легитимную операцию, хакеры подсовывали ему фейковую, в которой адрес получателя был заменен на кошелек атакующего.
Критический момент наступал при попытке пользователя ускорить «зависший» перевод с помощью функции Replace-by-Fee (RBF). Пытаясь легитимно повысить комиссию, жертва неосознанно криптографически подписывала уже подмененную мошенническую транзакцию, делая ее валидной и необратимой.
Уязвимости были подвержены все версии ПО, предшествующие 4.8.3. Точные масштабы ущерба (общая сумма потерь, количество скомпрометированных серверов и жертв) команда пока не раскрывает. Патч, устраняющий брешь, был интегрирован в код 23 октября, а готовые бинарные сборки стали доступны для загрузки на следующий день.
