یک نقص امنیتی با شدت بالا در کیف پول بیت‌کوین Electrum به مهاجمان اجازه می‌داد هنگام افزایش دستی کارمزد یک تراکنش در انتظار تأیید، جزئیات پرداخت را تغییر دهند و وجوه را به آدرس تحت کنترل خود بفرستند؛ بدون آن‌که به کلید خصوصی کاربر دسترسی پیدا کنند. توسعه‌دهندگان Electrum پس از تأیید سوءاستفاده فعال از این ضعف، نسخه ۴.۸.۳ را منتشر کرده‌اند.
نقص Electrum چگونه کشف شد؟
توسعه‌دهندگان Electrum در ۲۴ اکتبر درباره این آسیب‌پذیری اطلاع‌رسانی کردند. این افشاگری پس از دریافت دو گزارش در ۱۱ و ۱۸ اکتبر انجام شد. در گزارش نخست، کاربر متوجه شد پس از ارسال یک پرداخت، تراکنشی ناشناس در کیف پولش ظاهر شده است. در حادثه دوم نیز کاربری هنگام تلاش برای سریع‌تر کردن یک انتقال معلق، دارایی خود را از دست داد.
طبق گزارش CryptoSlate، دست‌کم یکی از کاربران پس از تأیید ناآگاهانه یک تراکنش جعلی بیت‌کوین متضرر شده است. Electrum مبلغ سرقت‌شده یا تعداد کیف پول‌های احتمالا آسیب‌دیده را اعلام نکرده، اما توسعه‌دهندگان گفته‌اند برخی سرورها در حال اجرای این حمله بوده‌اند.
این ضعف، نسخه‌های Electrum قدیمی‌تر از ۴.۸.۳ را تحت تأثیر قرار می‌دهد. این کیف پول برای پیگیری تراکنش‌های تأییدنشده به سرورهای خارجی متصل می‌شود و همین وابستگی، در صورت مخرب بودن سرور، امکان دستکاری اطلاعاتی را که کاربر پیش از امضای تراکنش می‌بیند ایجاد می‌کند.
مسیر تبدیل یک پرداخت عادی به سرقت
پس از آن‌که کاربر یک پرداخت بیت‌کوین را در شبکه منتشر می‌کند، سرور مخرب می‌تواند تراکنش اصلی را از شبکه پنهان کند و نسخه‌ای متعارض ارائه دهد که مقصد آن آدرس مهاجم است. این نسخه جعلی در ابتدا امضاهای نامعتبر دارد و بنابراین نباید به‌عنوان یک پرداخت معتبر پردازش شود.
با این حال، نسخه‌های آسیب‌پذیر Electrum پیش از نمایش تراکنش جایگزین‌شده در سابقه محلی تراکنش‌های تأییدنشده، اعتبار این امضاها را بررسی نمی‌کردند. در نتیجه، پرداخت واقعی از آن نمای حذف می‌شد و نسخه دستکاری‌شده مانند تراکنشی که صرفا در انتظار تأیید است به کاربر نشان داده می‌شد.
مهاجم در مرحله بعد از قابلیت Replace-by-Fee یا RBF استفاده می‌کرد. این قابلیت به کاربر اجازه می‌دهد برای تشویق استخراج‌کنندگان به تأیید سریع‌تر یک تراکنش معطل، کارمزد آن را افزایش دهد. اگر کاربر این کار را روی تراکنش جعلی انجام می‌داد، Electrum امضاهای تازه‌ای برای جزئیات تغییر‌یافته تولید می‌کرد. به این ترتیب، تراکنش هدایت‌شده به آدرس مهاجم معتبر می‌شد و انتقال وجه بدون افشای کلید خصوصی انجام می‌گرفت.
در رویداد ۱۸ اکتبر، کارمزد تراکنش جعلی reportedly صفر تعیین شده بود؛ وضعیتی که می‌توانست کاربر را به افزایش کارمزد برای تسریع انتقال ترغیب کند. همچنین مهاجمان آدرس‌هایی ساخته بودند که چهار نویسه پایانی آن‌ها با چهار نویسه پایانی آدرس گیرنده واقعی یکسان بود. این روش می‌توانست کاربرانی را که فقط بخشی از آدرس مقصد را بررسی می‌کنند، گمراه کند.
انتشار وصله و توصیه‌های Electrum
Electrum نسخه ۴.۸.۳ را در ۲۳ اکتبر آماده و در ۲۴ اکتبر همراه با اطلاعیه عمومی امنیتی منتشر کرد. در این نسخه، پیش از آن‌که تراکنش‌های تأییدنشده وارد سابقه محلی کیف پول شوند، امضاهای ورودی‌های متعلق به کیف پول بررسی می‌شود. هدف این تغییر، جلوگیری از رسیدن تراکنش جایگزین‌شده به مرحله افزایش کارمزد است.
توسعه‌دهندگان از کاربران خواسته‌اند وصله را از وب‌سایت رسمی Electrum دریافت کنند. آن‌ها همچنین تأکید کرده‌اند هنگام امضای تراکنش، آدرس کامل گیرنده و مبلغ پرداخت بررسی شود؛ نه این‌که تنها چند نویسه پایانی آدرس ملاک قرار گیرد.
بر اساس اطلاعیه، کاربرانی که فقط به سرورهای مورد اعتماد، از جمله سرورهای خصوصی خود، متصل بوده‌اند در معرض این حمله قرار نداشته‌اند. با این حال، وصله جدید بررسی امضا را به همه تراکنش‌های ورودی گسترش نمی‌دهد. بنابراین محور اصلی اصلاح انجام‌شده، همان تکنیک جایگزینی تراکنش در جریان افزایش دستی کارمزد است.
تصویر بازار بیت‌کوین و چند دارایی رمزارزی
بر اساس داده‌های بازار Moneyiar در زمان ثبت اطلاعات، قیمت بیت‌کوین با نماد BTC برابر با ۸۰٬۴۳۰٫۵۱ دلار بود. این دارایی در ۲۴ ساعت گذشته ۰٫۰۸ درصد کاهش و در بازه هفت‌روزه ۱٫۳۲ درصد افت داشت؛ زمان ثبت داده ۲۵ اکتبر ۲۰۲۶، ساعت ۲۲:۳۹ به وقت +۰۳:۳۰ است.
در همین داده‌ها، قیمت Nexus با نماد NEX حدود ۰٫۰۰۰۰۰۰۶۱۵۱ دلار ثبت شد؛ این توکن در ۲۴ ساعت ۱٫۶۱ درصد افزایش، اما در هفت روز ۱۳٫۹۷ درصد کاهش داشت. Propy با نماد PRO نیز ۰٫۳۳۱۹ دلار قیمت داشت و تغییرات آن به‌ترتیب رشد ۱٫۷۰ درصدی روزانه و افت ۳٫۹۵ درصدی هفتگی بود. داده مربوط به TAC Protocol با نماد TAC قیمت ۰٫۰۰۶۵۹۸ دلار، رشد ۶۹٫۳۵ درصدی در ۲۴ ساعت و افزایش ۱۶۶٫۳۶ درصدی در هفت روز را نشان می‌دهد؛ زمان این ثبت ۲۷ اوت ۲۰۲۶، ساعت ۰۹:۵۳ است.
