محقق نقصی در Cake Wallet گزارش می‌دهد که می‌تواند پرداخت‌های بیت‌کوین را منحرف کند

• طبق گزارش وی، این نقص به کیف‌پول‌های بیت‌کوین در نسخه‌های 6.4.4 و 6.5.0 آسیب می‌زند.
• حمله فرضی نیاز به یک سرور مخرب یا یک واسطه در شبکه دارد.

یک محقق امنیتی که با نام "floppy" شناخته می‌شود، در تاریخ 24 اکتبر گزارشی درباره یک نقص احتمالی در Cake Wallet، یک کیف‌پول موبایل متن‌باز منتشر کرد. طبق این گزارش، نقص مذکور می‌تواند پرداخت‌های بیت‌کوین را به سمت یک مهاجم منحرف کند زمانی که کاربر یک تراکنش معلق را تسریع می‌کند. این شرکت هنوز در مورد این گزارش اظهار نظری نکرده است.

سناریویی که محقق توصیف می‌کند، مشخص است: کاربر بیت‌کوین ارسال می‌کند، تراکنش بدون تأیید باقی می‌ماند و تصمیم می‌گیرد بیشتر پرداخت کند تا سریع‌تر پردازش شود. این عملکرد که به آن RBF (جایگزینی با کمیسیون) می‌گویند، یک کپی از ارسال با کارمزد بالاتر ایجاد می‌کند که جایگزین اصلی می‌شود.

طبق گزارش، برای ساختن این کپی، Cake Wallet از سوابق خود استفاده نمی‌کند. بلکه اطلاعات را از یک سرور Electrum درخواست می‌کند، دستگاهی از راه دور که اپلیکیشن برای مشاوره به شبکه بدون دانلود کامل آن به آن متصل می‌شود. محقق ادعا می‌کند که اپلیکیشن بررسی نمی‌کند که آنچه دریافت می‌شود با آنچه درخواست شده مطابقت دارد یا خیر.

به زبان ساده، این مانند این است که از شخص ثالثی بخواهید کپی یک چک را برای چاپ مجدد و امضا کردن آن بدون بررسی نام ذینفع به شما بدهد. اگر سرور آدرس گیرنده را با آدرس خود تغییر دهد، کیف‌پول به همان شکل امضا می‌کند و پرداخت به دست مهاجم می‌افتد.

چه کسی می‌تواند از آن بهره‌برداری کند، طبق گزارش

محقق دو نوع مهاجم را شناسایی می‌کند. اولی کسی است که سروری را که اپلیکیشن استفاده می‌کند، اداره می‌کند. این می‌تواند گره پیش‌فرض Cake Wallet، یکی از سرورهای شخص ثالث یا یک سرور سفارشی باشد که کاربر انتخاب کرده است.

دومی یک واسطه در شبکه است، مثلاً در یک وای‌فای عمومی. نویسنده ادعا می‌کند که این ممکن است زیرا اپلیکیشن هر گواهی امنیتی را می‌پذیرد، یعنی بررسی نمی‌کند که آیا سرور همان کسی است که ادعا می‌کند. طبق همان گزارش، حالت Tor یکپارچه در Cake این بررسی را انجام می‌دهد، بنابراین این مسیر بسته می‌شود.

محقق اضافه می‌کند که کاربر هیچ راهی برای متوجه شدن ندارد. اگر سرور به اولین درخواست با صداقت پاسخ دهد و پاسخ‌های بعدی را تغییر دهد، صفحه تأیید همان چیزی را نشان می‌دهد که یک تسریع قانونی نشان می‌دهد.

آنچه هنوز باید تأیید شود

گزارش شامل یک آزمایش مفهومی است که طبق نویسنده، در یک شبکه آزمایشی محلی بیت‌کوین اجرا شده است. در آن محیط، او ادعا می‌کند که جایگزینی جعلی پذیرفته و تأیید شده است، با پرداختی که به آدرس مهاجم ارسال شده است.

با این حال، خود نویسنده تصریح می‌کند که این آزمایش را علیه اپلیکیشن نصب شده بر روی یک دستگاه انجام نداده است. همچنین هیچ گزارشی از سرقت‌ها وجود ندارد، اگرچه انتشار او در X به طور مستقیم به "سرقت از طریق RBF" اشاره می‌کند. در حال حاضر، این نقص توسط طرف‌های ثالث تأیید نشده است و توسط Cake Wallet شناخته نشده است.

نویسنده همچنین اعلام کرد که از ابزارهای هوش مصنوعی برای تحقیق در مورد نقص، ساخت آزمایش و نوشتن گزارش استفاده کرده است. این نکته اهمیت یک بررسی مستقل از گزارش را قبل از تأیید آن بیشتر می‌کند.

این مورد تضادی دارد. در پاسخ به یک سرقت اخیر که به کیف‌پول دیگری آسیب زد، Cake در انجمن رسمی خود اعلام کرد که سال‌هاست که این نوع کد را بررسی می‌کند. همچنین گفت که این بررسی‌ها را با مدل‌های هوش مصنوعی تشدید کرده است.

یک نکته دیگر زمان است. محقق گزارش را پنج روز پس از ارسال آن منتشر کرد و به تیم متهم کرد که بیشتر مشغول بازاریابی است. این فاصله بسیار کوتاه‌تر از 90 روز معمول در افشای مسئولانه آسیب‌پذیری‌ها است.

احتیاط‌ها در این میان

گزارش پیشنهاد می‌کند که اپلیکیشن بررسی کند که تراکنش دریافتی با آنچه درخواست شده مطابقت دارد و آنچه واقعاً قرار است امضا کند را در صفحه نمایش دهد. تا زمانی که Cake Wallet اظهار نظری نکند، کاربرانی که می‌خواهند احتیاط کنند می‌توانند:

• از گزینه تسریع کمیسیون (Bump fee) در ارسال‌های معلق خودداری کنند.
• حالت Tor اپلیکیشن را فعال کنند.
• به یک سرور Electrum شخصی یا مورد اعتماد متصل شوند.

فراتر از اینکه این مورد چگونه به پایان می‌رسد، گزارش یادآور می‌شود که یک کیف‌پول سبک به سرورهای خارجی برای مشاهده شبکه وابسته است و هر داده‌ای که بررسی نمی‌شود، داده‌ای است که به آن اعتماد می‌شود. اگر نقص تأیید شود، ضعف در رمزنگاری نخواهد بود، بلکه در آن اعتماد خواهد بود.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.