Một báo cáo mới được cung cấp cho biết Electrum đã khắc phục lỗ hổng nghiêm trọng trên ví, cho phép máy chủ độc hại thay thế khoản thanh toán Bitcoin trong lúc tăng phí, khiến người dùng ký một giao dịch thay thế giả mạo. Báo cáo này cũng cho biết các phiên bản trước 4.8.3 bị ảnh hưởng, đã có một người dùng mất tiền và người dùng nên cập nhật, đồng thời kiểm tra lại địa chỉ người nhận cùng số tiền trước khi ký.

Cơ chế của cuộc tấn công Electrum được báo cáo

Các thông tin hiện có mô tả một cuộc tấn công thay thế giao dịch, chứ không khẳng định mọi khoản thanh toán qua Electrum đều tự động bị chuyển hướng. Theo bản tin nhanh được cung cấp, máy chủ độc hại được cho là can thiệp sau khi giao dịch đã được gửi, rồi lợi dụng quy trình Replace-by-Fee, hay RBF, để khiến ví ký một giao dịch thay thế giả mạo.

Như vậy, điểm yếu được nêu nằm ở bước tăng phí. Khi người dùng muốn nâng phí đào cho một giao dịch Bitcoin đang chờ xử lý, ví có thể cần ký một phiên bản mới của giao dịch đó. Bản tin nhanh cho biết đây là lúc máy chủ độc hại có thể thay địa chỉ đích bằng địa chỉ do kẻ tấn công kiểm soát, đồng thời tăng phí để giao dịch trông như một yêu cầu đẩy nhanh xử lý thông thường.

Một đoạn trích kết quả tìm kiếm từ The Defiant cũng mô tả mô hình tương tự: máy chủ độc hại có thể thay thế bằng một khoản thanh toán giả và lừa người dùng ký giao dịch đó trong lúc phí giao dịch được tăng. Các thông tin này cho thấy vấn đề được báo cáo là độ tin cậy của màn hình ký đối với giao dịch thay thế, thay vì khẳng định khóa riêng Electrum đã bị lộ trực tiếp.

Thông tin vá lỗi 4.8.3 có ý nghĩa gì với người dùng hiện nay

Dựa trên báo cáo được cung cấp, việc người dùng cần làm ngay là cập nhật và kiểm tra địa chỉ người nhận, số tiền trước khi ký bất kỳ giao dịch nào. Đây là câu trả lời thực tế rõ nhất cho việc sự cố có làm thay đổi hành vi người dùng hay không: ngay cả khi bản vá phần mềm như nêu là có thật, rà soát giao dịch vẫn là biện pháp bảo vệ chủ yếu trước nguy cơ thanh toán bị thay thế.

Tuy nhiên, vẫn còn một bất định đáng kể về chính xác phiên bản đã vá lỗi. Bản tin nhanh được cung cấp cho biết sự cố ảnh hưởng đến các phiên bản trước 4.8.3 và đã được vá trong 4.8.3, nhưng bằng chứng đi kèm không có ghi chú phát hành hoặc khuyến cáo bảo mật Electrum có thể đọc được để xác nhận phiên bản này. Một đoạn trích kết quả tìm kiếm từ chính trang Electrum lại hiển thị 4.8.2 là bản phát hành mới nhất; vì vậy, việc 4.8.3 là bản vá ở đây chỉ nên được xem là thông tin được báo cáo, chưa phải trạng thái phát hành đã được xác nhận trực tiếp.

Sự không chắc chắn này không phủ nhận cơ chế tấn công được báo cáo, nhưng hạn chế mức độ có thể khẳng định chính xác về bản vá. Người dùng không nên cho rằng chỉ cập nhật là đã loại bỏ toàn bộ rủi ro từ máy chủ độc hại; bằng chứng được cung cấp cũng không cho thấy mọi nền tảng, chế độ ví hoặc mọi giao dịch RBF của Electrum đều bị ảnh hưởng theo cùng một cách.

Những gì thực sự được xác lập từ các thông tin hiện có

Các điểm được hỗ trợ rõ nhất gồm: rủi ro được báo cáo có liên quan đến máy chủ độc hại; con đường thất thoát tiền bị cáo buộc gắn với việc ký giao dịch thay thế khi tăng phí; và khuyến nghị dành cho người dùng là cập nhật, đồng thời kiểm tra cẩn thận địa chỉ đích và số tiền trước khi ký. Bản tin nhanh được cung cấp cũng cho biết Electrum đã nhận hai báo cáo liên quan và một người dùng đã mất tiền.

Những điều chưa được xác lập trong bằng chứng được cung cấp cũng quan trọng không kém. Hiện không có khuyến cáo Electrum nào có thể đọc trực tiếp để xác nhận số lượng sự cố, không có trang phát hành nguồn nào đã được kiểm tra để chứng minh 4.8.3 là phiên bản vá đang được phát hành, và cũng chưa có phạm vi ảnh hưởng được xác nhận đối với các nền tảng hoặc cấu hình ví cụ thể. Vì vậy, bức tranh hiện tại nên được hiểu là một rủi ro đáng tin cậy đã được báo cáo liên quan đến việc ký giao dịch trên ví, trong khi hồ sơ nguồn cho phiên bản phát hành chính xác vẫn chưa được làm rõ.