Ví Electrum vá lỗ hổng bảo mật, tin tặc đánh cắp Bitcoin
CoinDesk đưa tin: Electrum đã phát hành phiên bản 4.8.3 nhằm khắc phục một lỗ hổng nghiêm trọng của ví Bitcoin. Nhóm phát triển xác nhận các máy chủ độc hại đã khai thác lỗ hổng này để chuyển hướng thanh toán của người dùng, và ít nhất một trường hợp mất tiền đã xảy ra. Lỗ hổng cho phép kẻ tấn công thay thế các giao dịch Bitcoin đang chờ xử lý bằng giao dịch gian lận. Người dùng có thể tưởng giao dịch là hợp lệ và ký duyệt khi tăng phí. Hai người dùng đã báo cáo sự việc, một trong số đó mất Bitcoin do tăng phí giao dịch. Lỗ hổng ảnh hưởng tới mọi phiên bản Electrum trước 4.8.3; nhà phát triển chưa công bố tổng thiệt hại. Bản vá sẽ kiểm tra chữ ký của những giao dịch do số tiền thuộc ví quản lý nhưng chưa được xác nhận khởi tạo. Theo khuyến cáo an ninh mà ví này phát hành ngày 24/10, kẻ tấn công lợi dụng cách Electrum xử lý giao dịch Bitcoin chưa xác nhận để thay khoản thanh toán hợp lệ bằng giao dịch gian lận; người dùng có thể vô tình ký duyệt khi tăng phí giao dịch. Electrum là ví Bitcoin nhẹ, kết nối tới máy chủ bên ngoài để lấy lịch sử giao dịch, phát giao dịch và thu thập thông tin khác của mạng lưới. Khác với node Bitcoin đầy đủ, phần mềm này không tự xử lý mọi hoạt động của blockchain. Tài liệu của Electrum giải thích ví xác minh giao dịch đã xác nhận bằng Xác minh thanh toán đơn giản (SPV), nhưng trước đây vẫn tin tưởng máy chủ chính khi hiển thị giao dịch chưa xác nhận. Kẻ tấn công khai thác sự khác biệt đó bằng cách chặn giao dịch gửi đi qua một máy chủ độc hại và chỉnh sửa trước khi giao dịch tới mạng Bitcoin. Sau khi chặn phát tán giao dịch hợp lệ, kẻ tấn công có thể gửi một giao dịch thay thế tới ví, đổi địa chỉ người nhận thành địa chỉ do chúng kiểm soát. Dù giao dịch thay thế có chữ ký không hợp lệ, phiên bản Electrum dính lỗ hổng không kiểm tra chữ ký trước khi hiển thị chúng trong lịch sử ví. Chiêu lừa này trở nên nguy hiểm khi người dùng tìm cách tăng phí giao dịch bằng Replace-by-Fee (RBF), tính năng Bitcoin cho phép thay giao dịch chưa xác nhận bằng giao dịch khác có phí cao hơn. Một khi phê duyệt điều chỉnh phí, người dùng có thể vô tình ký một giao dịch hợp lệ để trả tiền cho kẻ tấn công. Electrum xác nhận đã có tấn công thực tế gây mất Bitcoin. Nhà phát triển công bố hai vụ việc do người dùng báo riêng, cho thấy lỗ hổng không còn chỉ mang tính lý thuyết. Ngày 11/10, người dùng có tên dannydeezy báo cáo một giao dịch hiển thị trong lịch sử Electrum không khớp với khoản thanh toán ban đầu. Ngày 18/10, người dùng RajuK12 mất tiền khi cố tăng phí giao dịch và đã liên hệ nhà phát triển. Theo thông báo, cả hai vụ đều liên quan tới địa chỉ nhận do kẻ tấn công kiểm soát, được thiết kế trùng bốn ký tự cuối của địa chỉ Bitcoin người nhận mục tiêu. Ở vụ thứ hai, giao dịch gian lận có phí bằng 0, khiến nhà phát triển nghi ngờ mục đích là dụ nạn nhân khởi tạo thao tác tăng phí. Vụ thứ nhất liên quan ví đa chữ ký 2-of-3 dùng hai thiết bị Trezor. Giao dịch hợp lệ gồm 31 đầu vào và một đầu ra. Điều tra cho thấy cả 62 chữ ký đều hợp lệ với khoản thanh toán gốc nhưng không hợp lệ với giao dịch bị thay thế. Giao dịch giả chuyển gần như toàn bộ Bitcoin tới một địa chỉ tương tự, chỉ trả lại một phần nhỏ về ví. Giao dịch gốc vẫn hợp lệ nhưng chưa từng vào mạng Bitcoin công khai. Electrum thừa nhận trên thực tế một số máy chủ đang thực hiện kiểu tấn công này. Nhà phát triển chưa công bố số máy chủ liên quan, số tiền bị đánh cắp hay liệu có thêm nạn nhân nào được xác định. Phiên bản 4.8.3 chặn các giao dịch tăng phí độc hại. Bản sửa được đưa vào phiên bản 4.8.3 ngày 23/10, các tệp nhị phân có thể tải về được cung cấp ngày 24/10. Với commit 90fe308, nhà phát triển bổ sung kiểm tra chữ ký cho giao dịch chưa xác nhận có đầu vào do ví người dùng kiểm soát. Electrum giờ sẽ xác minh chữ ký trước khi thêm những giao dịch này vào lịch sử cục bộ, ngăn các khoản thanh toán gửi đi gian lận nêu trong thông báo bị hiển thị như giao dịch hợp lệ. Bản cập nhật không biến Electrum thành node Bitcoin đầy đủ. Nhà phát triển lưu ý giao dịch đến chưa xác nhận vẫn chưa nằm trong phạm vi kiểm tra chữ ký mới, và giao dịch đã xác nhận tiếp tục dùng quy trình xác minh hiện có. Người dùng chạy phiên bản trước 4.8.3 được khuyến nghị tải bản cập nhật từ trang web chính thức của Electrum. Với người chưa thể nâng cấp, nhà phát triển khuyên kiểm tra đầy đủ địa chỉ người nhận và số tiền, kể cả giao dịch thay thế phí, trước khi ký. Theo thông báo, người dùng chỉ kết nối tới máy chủ tin cậy, kể cả máy chủ riêng, sẽ không bị ảnh hưởng bởi kiểu tấn công máy chủ độc hại cụ thể này. Các vụ tấn công Electrum trong quá khứ cho thấy rủi ro từ máy chủ tái diễn nhiều lần. Sự việc lần này nối tiếp những nỗ lực trước đây nhằm khai thác việc Electrum phụ thuộc vào máy chủ bên ngoài. Tháng 12/2018, crypto.news đưa tin các máy chủ độc hại đã hiển thị thông báo cập nhật phần mềm giả tới người dùng, với thiệt hại ước tính gần 1 triệu USD. Một đợt tấn công máy chủ độc hại khác năm 2019 khai thác cập nhật ví giả và hoạt động từ chối dịch vụ để dẫn người dùng tới phần mềm bị xâm nhập. Những cuộc tấn công đó dựa vào tải xuống lừa đảo, còn lỗ hổng vừa được vá lần này liên quan tới việc thao túng thông tin giao dịch đang chờ trong một ví vốn hợp lệ. Bài viết năm 2020 với phỏng vấn về máy chủ Electrum đã bàn về những đánh đổi của ví nhẹ, trong đó có việc phụ thuộc hạ tầng bên ngoài để lấy lịch sử giao dịch. Tài liệu của Electrum cho biết ứng dụng khách thường kết nối khoảng mười máy chủ nhưng chọn một máy chủ chính để lấy lịch sử ví và phát giao dịch. Tài liệu cũng lưu ý máy chủ chính này được tin cậy đối với giao dịch chưa xác nhận.
