Uma vulnerabilidade encontrada na carteira Electrum, uma das mais antigas para Bitcoin, possibilitou que servidores controlados por atacantes trocassem transações não confirmadas por versões falsas, fazendo com que usuários que tentaram acelerar o pagamento enviassem seus fundos para endereços de criminosos.
Detalhes da falha
Electrum não mantém todo o histórico da rede; ele depende de servidores externos para obter informações sobre transações e para divulgar novos pagamentos. Antes da correção, o cliente aceitava as informações desses servidores sem validar as assinaturas das transações ainda não confirmadas.
Um atacante que controla um desses servidores pode interceptar uma transação que ainda não chegou ao blockchain, substituir a entrada mostrada na carteira por uma transação fraudulenta e, em seguida, aguardar que o usuário escolha a opção Replace-by-Fee (RBF) para “acelerar” o pagamento. Quando o usuário confirma a taxa maior, a carteira assina a transação falsa, enviando os bitcoins para o endereço do atacante.
Casos confirmados
Os desenvolvedores da Electrum receberam dois relatos em outubro. O primeiro, em 11 de outubro, envolveu uma carteira multiassinatura de dois‑de‑três, usando dois dispositivos Trezor. O usuário verificou a transação legítima nos dispositivos, mas depois encontrou outra saída no histórico da carteira, embora não tenha relatado perda de fundos.
O segundo relato, em 18 de outubro, descreveu um usuário que aumentou a taxa de uma transação substituída e acabou perdendo bitcoins. Os valores exatos não foram divulgados, mas os desenvolvedores confirmaram que pelo menos um caso resultou em roubo.
Correção e recomendações
Em 24 de outubro, a Electrum lançou a versão 4.8.3, que verifica as assinaturas das transações pendentes antes de permitir alterações. Usuários que ainda utilizam versões anteriores e se conectam a servidores desconhecidos permanecem vulneráveis.
Para se proteger, recomenda‑se atualizar imediatamente para a versão mais recente, usar apenas servidores confiáveis (ou rodar um servidor próprio) e conferir cuidadosamente o endereço de destino e o valor antes de assinar qualquer transação, especialmente ao usar RBF.
Impacto no ecossistema
Embora o número de vítimas ainda seja pequeno, o incidente evidencia a importância de validar informações recebidas de terceiros em carteiras leves. A falha também reforça a necessidade de boas práticas de segurança, como a verificação manual de endereços e a preferência por nós completos quando possível.
Replace-by-Fee: recurso que permite substituir uma transação ainda não confirmada por outra com taxa maior, acelerando sua inclusão no blockchain.
Fonte: coindesk.com
Produtos que o Noob recomenda
Contém links de afiliado: se você comprar, o Noob pode ganhar uma comissão, sem custo extra para você. Preços podem mudar no Mercado Livre.
Comentários