Təqdim olunan son hesabata görə, Electrum komissiya artırılarkən zərərli serverin Bitcoin ödənişini dəyişdirməsinə və istifadəçinin saxta əvəzləyici əməliyyatı imzalamasına imkan verə bilən kritik pul kisəsi zəifliyini aradan qaldırıb. Həmin hesabatda 4.8.3-dən əvvəlki versiyaların təsirləndiyi, bir istifadəçinin vəsait itirdiyi, istifadəçilərin isə yeniləmə apararaq imzalamazdan əvvəl alıcının ünvanını və məbləği yenidən yoxlamalı olduğu bildirilir.

Bildirilən Electrum hücumu necə işləyir

Mövcud xəbərlərdə hər bir Electrum ödənişinin avtomatik yönləndirildiyi deyil, əməliyyatın dəyişdirilməsi hücumundan danışılır. Təqdim edilən qısa xəbərə əsasən, zərərli server əməliyyat göndərildikdən sonra müdaxilə edir və daha sonra pul kisəsinə saxta əvəzləyici əməliyyatı imzalatmaq üçün Replace-by-Fee, yəni RBF mexanizmindən istifadə edir.

Beləliklə, bildirilən zəif nöqtə komissiyanın artırılması mərhələsidir. İstifadəçi gözləmədə olan Bitcoin əməliyyatı üzrə mədənçilik komissiyasını artırmaq istədikdə, pul kisəsinin həmin əməliyyatın yeni versiyasını imzalaması lazım gələ bilər. Qısa xəbərdə deyilir ki, zərərli server məhz bu mərhələdə komissiyanı da yüksəldərək hücumçunun nəzarət etdiyi təyinat ünvanını yerləşdirə və nəticəni adi sürətləndirmə cəhdi kimi göstərə bilər.

The Defiant-in axtarış nəticəsində görünən xülasəsi də eyni əsas sxemi təsvir edir: zərərli server saxta ödənişi əvəz edə, əməliyyat komissiyası artırılarkən istifadəçini onu imzalamağa aldada bilər. Bu məlumatlar Electrum-un şəxsi açarlarının birbaşa ifşa edildiyi iddiasından çox, əvəzləyici əməliyyatlarla əlaqəli imzalama ekranına etibar probleminə işarə edir.

4.8.3 düzəlişi iddiası hazırda istifadəçilər üçün nə deməkdir

Təqdim olunan hesabata əsasən, istifadəçilərin dərhal atmalı olduğu addım yeniləmə aparmaq və istənilən əməliyyatı imzalamazdan əvvəl alıcının ünvanını, eləcə də məbləği yoxlamaqdır. Bu, məsələnin indidən istifadəçi davranışını dəyişib-dəyişmədiyi sualına ən aydın praktiki cavabdır: proqram təminatına düzəliş edildiyi bildirilsə də, əməliyyatın nəzərdən keçirilməsi dəyişdirilmiş ödənişdən əsas müdafiə olaraq qalır.

Bununla belə, dəqiq düzəliş versiyası ilə bağlı mühüm qeyri-müəyyənlik var. Təqdim edilən qısa xəbərdə problemin 4.8.3-dən əvvəlki versiyalara təsir etdiyi və 4.8.3-də aradan qaldırıldığı deyilir, lakin təqdim olunan sübutlarda bu versiyanı təsdiqləyən oxunaqlı Electrum buraxılış qeydi və ya təhlükəsizlik bildirişi yoxdur. Electrum-un öz saytına aid axtarış nəticəsi xülasəsində ən son buraxılış kimi 4.8.2 göstərilib; buna görə 4.8.3 düzəlişi birbaşa təsdiqlənmiş buraxılış statusu yox, bildirilən versiya iddiası kimi qiymətləndirilməlidir.

Bu qeyri-müəyyənlik bildirilən hücum mexanizmini təkzib etmir, lakin düzəlişi nə dərəcədə dəqiq ifadə etməyin mümkünlüyünü məhdudlaşdırır. Oxucular təkcə yeniləmənin zərərli serverlə bağlı bütün riskləri aradan qaldırdığını düşünməməlidir; təqdim edilən sübutların heç biri bütün Electrum platformalarının, pul kisəsi rejimlərinin və ya bütün RBF əməliyyatlarının eyni şəkildə təsirləndiyini göstərmir.

Mövcud xəbərlər əsasında nə həqiqətən təsdiqlənib

Ən güclü şəkildə dəstəklənən məqamlar bunlardır: bildirilən risk zərərli serverlə əlaqəlidir, iddia edilən oğurluq yolu komissiya artırılarkən əvəzləyici əməliyyatın imzalanmasına bağlıdır və istifadəçilərə verilən tövsiyə yeniləmə aparmaq, imzalamazdan əvvəl təyinat ünvanını və məbləği diqqətlə yoxlamaqdır. Təqdim olunan qısa xəbərdə həmçinin Electrum-un bununla bağlı iki hesabat aldığı və bir istifadəçinin vəsait itirdiyi deyilir.

Təqdim olunan sübutlarla təsdiqlənməyən məqamlar da eyni dərəcədə vacibdir. Burada hadisələrin sayını təsdiqləyən birbaşa oxunaqlı Electrum bildirişi, 4.8.3-ün hazırda qüvvədə olan düzəlişli versiya olduğunu sübut edən yoxlanılmış ilkin buraxılış səhifəsi və konkret platformalar və ya pul kisəsi konfiqurasiyalarını əhatə edən təsdiqlənmiş miqyas yoxdur. Buna görə mövcud mənzərəni dəqiq buraxılış versiyası üzrə ilkin mənbə qeydi hələ aydınlaşdırılmamış, lakin inandırıcı şəkildə bildirilən pul kisəsi imzalama riski kimi dəyərləndirmək daha məqsədəuyğundur.