باگ کیف پول بیت‌کوین به سرورهای مخرب اجازه سرقت وجوه را هنگام تلاش کاربران برای تسریع پرداخت‌ها داد

الکتروم، یکی از قدیمی‌ترین کیف پول‌های نرم‌افزاری بیت‌کوین، آسیب‌پذیری‌ای را افشا کرد که به سرورهای مخرب اجازه می‌داد هنگام تلاش کاربران برای تسریع پرداخت، وجوه آنان را بدزدند. این کیف پول برای دریافت تاریخچه تراکنش‌ها و ارسال پرداخت‌ها به سرورهای بیرونی متکی است و پیش از اصلاح، تراکنش‌های معلق را بدون بررسی امضا معتبر می‌دانست. مهاجم می‌توانست پرداخت را پیش از رسیدن به شبکه بیت‌کوین رهگیری و با تراکنش جعلی دارای امضای نامعتبر جایگزین کند. سپس تراکنش جعلی به‌صورت معلق نمایش داده می‌شد و اگر کاربر گزینه افزایش کارمزد را انتخاب می‌کرد، کیف پول نسخه معتبری از همان تراکنش را امضا و سکه‌ها را به آدرس مهاجم می‌فرستاد. در یک گزارش، تراکنش مخرب بدون کارمزد بود تا گیرکرده به نظر برسد و آدرس دریافت‌کننده نیز چهار کاراکتر آخرش با مقصد واقعی یکسان ساخته شده بود. دو گزارش در اکتبر ثبت شد؛ در یکی کیف پول چندامضایی با دو دستگاه سخت‌افزاری Trezor درگیر بود و در دیگری کاربر با افزایش کارمزد پول از دست داد. مقدار سرقت‌شده اعلام نشده است. نسخه 4.8.3 در 24 اکتبر با افزودن بررسی امضا برای تراکنش‌های تأییدنشده‌ای که سکه‌های کیف پول کاربر را خرج می‌کنند منتشر شد، اما نسخه‌های قدیمی‌تر در اتصال به سرورهای مخرب آسیب‌پذیرند. توصیه شده است کاربران به‌روزرسانی کنند و پیش از امضای پرداخت، آدرس و مبلغ را بررسی کنند. اتصال فقط به سرورهای مورد اعتماد یا سرور شخصی از این حمله جلوگیری می‌کند.