Electrum кошелек подвел пользователей: повышение комиссии превращалось в кражу BTC

Electrum кошелек снова оказался в центре внимания крипто-сообщества, и на этот раз не из-за удобного интерфейса или поддержки аппаратных устройств, а из-за уязвимости, которая превращала рутинную операцию в потенциальную кражу средств. 24 октября разработчики опубликовали официальное предупреждение, в котором рассказали, как простое повышение комиссии за транзакцию могло обернуться платежом злоумышленнику вместо исходного получателя.

Как безобидное повышение комиссии превращалось в кражу

Суть проблемы в том, что вредоносные серверы, с которыми взаимодействует Electrum кошелек, могли подменять запись в неподтвержденной истории транзакций пользователя. Если владелец кошелька затем решал ускорить застрявший платеж через повышение комиссии и подписывал замещающую транзакцию, он мог неосознанно одобрить перевод средств на адрес атакующего.

По данным разработчиков, от этой схемы пострадали как минимум два пользователя, один из них действительно лишился средств. Точная сумма ущерба в официальном сообщении не называется, но сам механизм атаки вызывает куда больше тревоги, чем конкретные цифры.

Пользователь мог корректно отправить первоначальный платеж и все равно столкнуться с опасным запросом на повторное подписание.

Это принципиально отличает инцидент от банальной кражи приватного ключа. Проверка адреса получателя один раз не гарантирует, что следующая транзакция, которую попросит подписать кошелек, окажется такой же безопасной.

Почему electrum кошелек вообще доверяет данным от серверов

Electrum изначально задумывался как легкий клиент, и в этом его главное преимущество перед полноценной нодой биткоина. Для работы с блокчейном такой биткоин кошелек использует сторонние серверы, которые предоставляют информацию о транзакциях, включая неподтвержденные операции. Подтвержденные транзакции проходят отдельную проверку через заголовки блоков, а вот с неподтвержденной историей все оказалось сложнее.

Именно эта архитектурная особенность и позволила атакующим подсовывать поддельные записи. Пользователи получали удобство и скорость взамен на необходимость полного доверия к интерфейсу, который должен был аккуратно интерпретировать данные от внешних источников. Как показала эта история, не всегда так и происходило.

Мы уже писали о другой проблеме с этим же механизмом - уязвимости RBF в Electrum, которая тоже была связана с заменой транзакций и требовала от пользователей повышенной внимательности при подтверждении платежей.

Версия 4.8.3 закрывает дыру, но не отменяет уже прошедшие переводы

Разработчики выпустили обновление, устраняющее уязвимость в неподтвержденной истории транзакций. Скачать его стоит исключительно с официального сайта проекта, где доступны подписанные сборки и инструкция по проверке подписи. Загрузка "исправления" по ссылке из постороннего сообщения в такой ситуации создаст новый риск именно в тот момент, когда пользователь пытается избавиться от старого.

Важный нюанс - обновление не откатывает уже подтвержденную транзакцию, отправленную не тому адресату. И уж тем более не стоит воспринимать непонятную запись в истории переводов как доказательство того, что легитимный получатель действительно получил средства. Первым делом нужно разобраться, что именно было отправлено в сеть и что пользователь на самом деле подписал.

Кстати, подобная настороженность к интерфейсам и ссылкам актуальна не только для Electrum. В материале про использование MetaMask мы тоже разбирали, почему проверка каждой операции перед подписанием должна стать привычкой, а не разовым действием.

При чем тут бумажный кошелек биткоин и другие способы хранения

История с Electrum лишний раз напоминает, почему многие опытные держатели биткоина до сих пор держат часть средств в холодном хранении, включая классический бумажный кошелек биткоин - распечатанную пару ключей, полностью изолированную от сети и любых серверов. Такой способ исключает саму возможность подмены данных со стороны сервера, потому что подписание транзакции происходит без онлайн-взаимодействия в момент проверки.

При этом бумажный кошелек биткоин неудобен для повседневных операций и плохо подходит для частых платежей, так что полностью заменить программные решения вроде Electrum он не может. Это скорее дополнительный уровень защиты для крупных сумм, а не универсальный ответ на все риски софтверных кошельков.

Интересно, что многие русскоязычные пользователи ищут именно electrum на русском, чтобы скачать клиент с переведенным интерфейсом и разобраться в настройках без языкового барьера. Официальный сайт проекта поддерживает несколько языков интерфейса, но важно убедиться, что скачивается подлинная сборка, а не переупакованная злоумышленниками версия с подмененным адресом загрузки.

Что это значит для владельцев биткоин кошелек в целом

Главный вывод из этой истории довольно практичный. Повышение комиссии технически представляет собой новую транзакцию со своими получателями и суммами, и она заслуживает такой же тщательной проверки, как и первоначальный платеж. Патч в версии 4.8.3 убирает конкретный вектор обмана через подмену неподтвержденной истории, но не отменяет необходимость внимательно читать, что именно запрашивает подтвердить ваш электрум кошелек перед каждой подписью.

Эта история также вписывается в более широкий разговор о том, как медленно и непоследовательно иногда реагируют разработчики и регуляторы на угрозы в криптоиндустрии. Параллели можно провести и с усилением надзора со стороны финансовых властей - например, с тем, как британский регулятор FCA взялся проверять крипто-биржи, требуя от участников рынка более прозрачных процедур безопасности.

Так что если вы пользуетесь Electrum кошелек, самое время проверить версию клиента, обновиться через официальный сайт и взять за правило перечитывать адрес и сумму перед каждым подтверждением транзакции, даже если речь идет всего лишь об ускорении застрявшего платежа.

Автор

Barbados