Новая уязвимость в Electrum позволила хакерам красть биткоины через подмену транзакций
coinspot.ioУязвимость в Electrum затронула все версии кошелька до 4.8.3: злоумышленники могли показывать пользователю поддельную неподтвержденную транзакцию и добиваться ее подписи в момент, когда владелец кошелька пытался увеличить комиссию.
Команда Electrum выпустила срочное обновление 4.8.3, закрывающее проблему безопасности. По данным разработчиков, атака строилась на подмене легитимного платежа мошеннической транзакцией: пользователь видел ее в истории кошелька и мог сам авторизовать перевод на адрес атакующего при попытке поднять комиссию.
Как злоумышленники подменяли транзакции Electrum работает как легкий Bitcoin-кошелек: он получает историю операций через внешние серверы и использует Simple Payment Verification для проверки платежей.
При показе ожидающих подтверждения транзакций уязвимые версии кошелька полагались на основной сервер, к которому был подключен клиент.
Читать на coinspot.io
