Lỗ hổng ví Electrum cho phép máy chủ độc hại chiếm đoạt Bitcoin qua thao tác tăng phí giao dịch
Một lỗ hổng bảo mật trong ví Electrum cho phép các máy chủ độc hại lừa người dùng phê duyệt giao dịch Bitcoin gửi tới kẻ tấn công, đúng lúc người dùng tìm cách tăng phí giao dịch. Đội ngũ phát triển xác nhận ít nhất một trường hợp bị mất tiền.
Electrum công bố lỗ hổng hôm thứ Bảy và cho biết một số máy chủ đã khai thác lỗ hổng này. Trong tháng 10, nhóm phát triển nhận hai báo cáo, trong đó có người dùng mất tiền sau khi phê duyệt một lệnh tăng phí trông có vẻ thông thường.
Khác với một node Bitcoin đầy đủ, Electrum lấy lịch sử giao dịch và phát các khoản thanh toán qua máy chủ bên ngoài. Trước khi có bản vá, ví chấp nhận thông tin từ máy chủ về các giao dịch chưa được xác nhận mà không kiểm tra chữ ký giao dịch.
Kẻ kiểm soát máy chủ có thể chặn một khoản thanh toán trước khi khoản này lên tới mạng Bitcoin, rồi thay thế bằng giao dịch giả trong lịch sử ví, chuyển số coin của người dùng tới địa chỉ do kẻ tấn công nắm giữ. Electrum không phát hiện chữ ký không hợp lệ và hiển thị giao dịch giả là đang chờ xử lý.
Tính năng Replace-by-Fee (RBF) của Bitcoin cho phép người dùng thay giao dịch chưa xác nhận bằng giao dịch trả phí cao hơn. Khi người dùng chọn RBF, Electrum có thể ký một giao dịch thay thế hợp lệ cho giao dịch gian lận và gửi coin cho kẻ tấn công. Một giao dịch độc hại được báo cáo có mức phí bằng 0, tạo cảm giác khoản thanh toán bị treo. Kẻ tấn công còn tạo các địa chỉ đích có bốn ký tự cuối trùng với địa chỉ dự định, khiến việc kiểm tra bằng mắt thường kém tin cậy hơn.
Báo cáo đầu tiên đến ngày 11/10, liên quan tới ví đa chữ ký 2/3 dùng hai thiết bị phần cứng Trezor. Người dùng đã xác minh khoản thanh toán dự định trên cả hai thiết bị, nhưng sau đó thấy một giao dịch gửi đi khác trong lịch sử ví. Người này không báo mất tiền.
Người dùng thứ hai báo cáo ngày 18/10 rằng việc tăng phí trên một giao dịch bị thay thế đã dẫn tới mất tiền. Nhóm phát triển chưa công bố số tiền bị đánh cắp cũng như không nêu tên các máy chủ độc hại.
Electrum phát hành phiên bản 4.8.3 ngày 24/10 để khắc phục lỗ hổng. Bản cập nhật bổ sung cơ chế xác thực chữ ký cho các giao dịch chưa xác nhận có sử dụng coin thuộc ví người dùng. Bản vá ra đời sáu ngày sau vụ đánh cắp đầu tiên được báo cáo, song các phiên bản cũ vẫn dễ bị tấn công qua máy chủ độc hại.
Nhóm phát triển khuyến nghị người dùng nâng cấp và kiểm tra địa chỉ đích cùng số tiền thanh toán trước khi phê duyệt giao dịch. Những ai chỉ kết nối với máy chủ đáng tin cậy, kể cả máy chủ do chính họ vận hành, không bị ảnh hưởng.
