Tədqiqatçı Cake Wallet-də bitcoin ödənişlərini yönləndirməyə imkan verən bir boşluq aşkar etdi

• Hesabata görə, bu, 6.4.4 və 6.5.0 versiyalarındakı Bitcoin cüzdanlarını təsir edəcək.
• İddia edilən hücum üçün zərərli bir server və ya şəbəkədə bir vasitəçi tələb olunur.

Təhlükəsizlik tədqiqatçısı "floppy" imzası ilə 24 oktyabrda açıq mənbə mobil cüzdan olan Cake Wallet-də iddia edilən bir boşluq haqqında hesabat dərc etdi. Hesabata görə, bu boşluq istifadəçi gözləyən bir əməliyyatı sürətləndirdikdə bitcoin ödənişlərini bir hücumçuya yönləndirməyə imkan verəcək. Şirkət hesabatla bağlı heç bir açıqlama verməyib.

Tədqiqatçının təsvir etdiyi ssenari konkret: istifadəçi bitcoin göndərir, əməliyyat təsdiqlənmir və daha tez işlənməsi üçün daha çox ödəməyə qərar verir. Bu funksiya, RBF (komissiyanı əvəz etmək) adlanır, daha yüksək bir ödənişlə göndərmənin bir surətini yaradır ki, bu da orijinalı əvəz edir.

Hesabata görə, bu surəti hazırlamaq üçün Cake Wallet öz qeydlərini istifadə etmir. O, məlumatları Electrum serverindən alır, bu, tətbiqin tamamilə yükləmədən şəbəkəni yoxlamaq üçün qoşulduğu uzaq cihazdır. Tədqiqatçı iddia edir ki, tətbiq alınan məlumatların istədiyi ilə uyğun olduğunu yoxlamayacaq.

Sadə dildə desək, bu, üçüncü tərəfdən bir çekin surətini istəmək və onu imzalamadan əvvəl alıcı adını yoxlamadan yenidən çap etmək kimidir. Əgər server alıcının ünvanını özünə dəyişdirsə, cüzdan yenə də imzalayacaq və ödəniş hücumçunun əlinə keçəcək.

Hesabata görə kimlər bundan yararlana bilər

Tədqiqatçı iki hücumçu profilini müəyyən edir. Birincisi, tətbiqi istifadə edən serveri idarə edən şəxsdir. Bu, Cake Wallet-in standart nodu, üçüncü tərəf və ya istifadəçinin seçdiyi xüsusi bir nod ola bilər.

İkincisi, şəbəkədə bir vasitəçi, məsələn, ictimai wifi-dədir. Müəllif bunun mümkün olduğunu bildirir, çünki tətbiq hər hansı bir təhlükəsizlik sertifikatını qəbul edəcək, yəni serverin kim olduğunu yoxlamayacaq. Eyni hesabatda, Cake-in inteqrasiya olunmuş Tor rejimi bu yoxlamanı edir, buna görə də bu yol bağlanmış olur.

Tədqiqatçı əlavə edir ki, istifadəçi bunu hiss edə bilməz. Əgər server ilk sorğuya dürüst cavab verirsə və sonrakıları dəyişirsə, təsdiq ekranı legitim bir sürətləndirmə ilə eyni şeyi göstərəcəkdir.

Təsdiq edilməli olanlar

Hesabat, müəllifin yerli Bitcoin test şəbəkəsində icra edildiyini iddia etdiyi bir konsept sübutunu ehtiva edir. O mühitdə, saxta əvəz qəbul edildi və təsdiqləndi, ödəniş hücumçunun ünvanına göndərildi.

Bununla belə, müəllif özü bunu bir cihazda quraşdırılmış tətbiqə qarşı icra etmədiyini aydınlaşdırır. O cümlədən, oğurluq qeydləri yoxdur, baxmayaraq ki, onun X-dəki dərcində "RBF vasitəsilə oğurluq" haqqında birbaşa danışılır. Hal-hazırda, boşluq üçüncü tərəflər tərəfindən təsdiqlənməyib və Cake Wallet tərəfindən tanınmayıb.

Müəllif həmçinin boşluğu araşdırmaq, sübutu hazırlamaq və hesabatı yazmaq üçün süni intellekt alətlərindən istifadə etdiyini bildirdi. Bu məlumat hesabatın müstəqil bir araşdırmasını daha da vacib edir.

Hadisənin bir ziddiyyət var. Başqa bir cüzdanı təsir edən son oğurluqdan sonra, Cake rəsmi forumunda bu cür kodu illərdir yoxladığını bildirdi. O, həmçinin bu yoxlamaları süni intellekt modelləri ilə gücləndirdiyini söylədi.

Başqa bir nüans müddətdir. Tədqiqatçı hesabatı göndərdikdən beş gün sonra dərc etdi və komandaya marketinq ilə daha çox məşğul olduğunu iddia etdi. Bu müddət zəifliklərin məsuliyyətli açıqlanmasında adətən 90 gündən çox qısadır.

Bu müddətdə ehtiyat tədbirləri

Hesabat tətbiqin alınan əməliyyatın istədiyi ilə uyğun olduğunu yoxlamasını və imzalayacağı şeyi ekranda göstərməsini təklif edir. Cake Wallet hələ açıqlama vermədiyi üçün ehtiyatlı olmaq istəyən istifadəçilər:

• Gözləyən göndərişlərdə komissiyanı sürətləndirmək (Bump fee) seçimini qaçın.
• Tətbiqin Tor rejimini aktiv edin.
• Öz və ya etibarlı Electrum serverinə qoşulun.

Hadisənin necə bitməsindən asılı olmayaraq, hesabat xatırladır ki, yüngül bir cüzdan şəbəkəni görmək üçün xarici serverlərə asılıdır və yoxlamadığı hər məlumat etibar etdiyi bir məlumatdır. Əgər boşluq təsdiqlənərsə, zəiflik kriptografiyada deyil, bu etimaddadır.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.