Взлом электронного кошелька Comprise обойдется пользователям в $ 750 000

Согласно появляющимся сообщениям, популярное программное обеспечение биткойн-кошелька Electrum подверглось атаке. Нарушение системы безопасности кошелька уже обошлось пользователям в 750 миллионов долларов. 

В результате компроментации системы безопасности хакеры обманом заставили пользователей сделать критическое обновление. Затем пострадавшие были перенаправлены в неавторизованный репозиторий GitHub, где было произведено неофициальное обновление программного обеспечения. 

При этом, несмотря остановку в работе, команда считает, что в будущем возможны новые атаки.

Отчеты в ZDNet утверждают, что взлом системы безопасности стал возможным из-за уязвимости, которая позволяет серверам Electrum генерировать всплывающие окна, используя пользовательский текст. 

Хакеры использовали поддельные серверы Electrum для отображения всплывающего окна, запрашивающего пользователей сделать экстренное обновление. Считается, что хакеры создали в общей сложности 33 таких сервера.

Нападение на Электрум началось в минувшую пятницу, 21 декабря, и, хотя теперь оно, похоже, прекратилось, есть основания полагать, что те, кто стоит за ним, вскоре снова нанесут удар. 

Это вызвано тем, что команда разработчиков все еще исправляет уязвимость. На данный момент администратор GitHub удалил мошенническое хранилище, но есть опасения, что одно и то же мошенничество может быть повторено с использованием ссылки на другой репозиторий или альтернативный источник загрузки.

Несмотря на то, что пока не известно, как остановить повторные атаки, была предпринята ранняя попытка уменьшить количество ущерба, нанесенного кошелькам пользователей. Команда Electrum смогла изменить сообщение хакеров из расширенного HTML-текста. Это радикально изменило внешний вид текста и удалило прикрепленную ссылку на поддельный GitHub-репозиторий.

Анонимный разработчик в Electrum, известный как SomberNight, заявил
следующее после того, как команда изменила сообщение хакеров:

«До этого момента мы публично не раскрывали эту [атаку], поскольку примерно во время релиза 3.3.2 злоумышленник прекратил атаковать… Однако теперь они снова начали атаку».

К сожалению, некоторые пользователи все еще попадаются под атаку и вручную копируют и вставляют URL, указанный в незаконном сообщении. Затем они загрузили неофициальное обновление и забрали свои средства. Это побудило администраторов GitHub удалить сам репозиторий.

Большой красный флаг для всех, кто обеспокоен тем, что они могут стать жертвами взлома Electrum, заключается в том, что недавно установленное взломанное программное обеспечение запрашивает у пользователей ввод кода двухфакторной аутентификации (2FA) при запуске. На кошельке Electrum коды 2FA запрашиваются только при переводе средств. Вводя код при запуске, ничего не подозревающие пользователи кошелька по существу дают зеленый свет похищению своих собственных биткойнов.

Сам биткойн остается не взломанным

Несмотря на взлом, надежная модель безопасности биткойна остается неизменной. Вместо того, чтобы демонстрировать слабость самой сети, подобные атаки служат для того, чтобы подчеркнуть опасность хранения средств в настольном кошельке, а не в бумажном или аппаратном.

Такие взломы напоминают пользователям Биткойна о необходимости быть бдительными в соблюдении правил безопасности. Все «горячие кошельки» (настольные, мобильные, онлайн — все, что связано с Интернетом) должны рассматриваться как подверженные риску взлома каким-либо способом.

Возможно, группа, наиболее подверженная таким атакам, — это пользователи централизованных криптовалютных сервисов, таких как биржи. Они будут гораздо лучше обслуживаться с надлежащими методами холодного хранения (такими, как перечисленные выше), а не с каким-либо кастодиальным решением, предлагаемым рассматриваемой службой. Биржи взламывались много раз раньше и это будет происходить снова.

Такие случаи нарушения безопасности недавно побудили биткоин миллиардера Trace Mayor публично поощрять то, что он назвал «Доказательством ключей» 3 января. Идея, стоящая за этим, заключается в том, чтобы побудить пользователей биткойн удалить все средства из кошельков, ключами от которых пользователи не владеют — таким образом, получить возможность использовать все прорывные преимущества биткойна.

Источник