Popularny producent portfeli Electrum wydał poprawkę na krytyczny błąd w portfelach Bitcoin. Usterka pozwoliła dowolnej stronie internetowej z portfelem Electrum potencjalnie ukraść kryptowalutę użytkownika. Luka w zabezpieczeniach oznacza, że hasła zostały ujawnione w interfejsie JSONRPC, zapewniając hakerom pełną kontrolę nad portfelem. Pierwsza łatka nie rozwiązała problemu, zmuszając Electrum do wydania drugiej aktualizacji w niedzielę.
W ubiegłym tygodniu świat technologii był wstrząśnięty wiadomością o błędach w komputerowych chipach Intela, które przez lata były nieodkryte. Jest to podobna historia z luką w portfelu Electrum, a niektóre raporty mówią, że istniała ona przez ponad dwa lata. Badacz wrażliwości Google, Tavis Ormandy, twierdzi, że odkrył błąd, chociaż wada została oznaczona w zeszłym roku. W kilka godzin po tym, jak Ormandy wskazał na tę słabość, Electrum wydał łatkę, żeby temu zaradzić.
W poście na forum Bitcointalk , administrator strony Theymos wyjaśnił: "Jeśli w którymkolwiek momencie w przeszłości miałeś Electrum otwarty bez zestawu hasła portfela; i gdy otwarta była strona internetowa, możliwe, że Twój portfel jest już zagrożony. Szczególnie paranoiczni ludzie mogą chcieć wysłać wszystkie BTC w starym portfelu Electrum do nowo wygenerowanego portfela Electrum. "
Później zaktualizował swój post, dodając: "Jeśli nie masz ustawionego hasła do portfela, kradzież jest banalna. Jeśli masz ustawione przyzwoite hasło do portfela, wydaje się, że osoba atakująca może "tylko" uzyskać informacje o adresie / transakcji z twojego portfela i zmienić ustawienia Electrum, z których ostatnia wydaje mi się duża szansą na wykorzystanie dalej. Jeśli więc masz ustawione hasło do portfela, możesz zmniejszyć zagrożenie, ale powinieneś traktować to bardzo poważnie. "
Osoba, która po raz pierwszy zgłosiła błąd na Github 24 listopada, wyjaśniła: "Podczas działania demona Electrum, ktoś na innym wirtualnym hoście serwera sieci może łatwo uzyskać dostęp do twojego portfela za pośrednictwem lokalnego portu RPC. Obecnie nie ma zabezpieczeń / autoryzacji, dzięki czemu ktoś ma dostęp do portu RPC z pełnym dostępem do portfela. "
Electrum to darmowe oprogramowanie używane przez wiele witryn kryptowalutowych, w tym sprzedawców i giełdy, do przechowywania bitcoinów. Każdy może uruchomić serwer Electrum, a oprogramowanie obsługuje portfele sprzętowe, takie jak Trezor, Ledger i Keepkey. Udoskonalone funkcje obejmują multi-sig i możliwość podpisywania transakcji przy użyciu urządzenia pamięci masowej, które nie jest podłączone do sieci.
Wygląda na to, że błąd został naprawiony przed wyrządzeniem jakichkolwiek szkód - choć biorąc pod uwagę czas, w którym leżał nieodkryty, trudno powiedzieć z całą pewnością, że żadne pieniądze nie zostały skradzione. Przypadek ilustruje ponownie ryzyko pozostawienia bitcoina przechowywanego w portfelu internetowym.
Zalecamy jak najszybszą aktualizację portfela electrum.
