WORLDTECHElectrum schließt Lücke, über die Server Bitcoin-Zahlungen umleiten konnten
Die Bitcoin-Software-Wallet Electrum hat eine Schwachstelle mit hohem Schweregrad geschlossen, die es fremden Servern ermöglichte, ausstehende Transaktionen auszutauschen und Gelder an Adressen zu leiten, die Angreifer kontrollieren. Das berichtet Decrypt. Mindestens ein Nutzer hat bestätigt, durch die Lücke Geld verloren zu haben.
Wie die Lücke ausstehende Zahlungen umlenkte
Der Angriff setzt bei der Behandlung unbestätigter Transaktionen an. Verschickt ein Nutzer eine Zahlung über einen kompromittierten Server, kann dieser die echte Transaktion unterdrücken und eine gefälschte, widersprüchliche einschleusen. Der Ersatz zeigt eine Ausgabeadresse des Angreifers und eine Gebühr von null, sodass die Zahlung festzuhängen scheint.
Da Electrum die Signaturen unbestätigter Transaktionen vom Server nicht prüfte, erschien der gefälschte Eintrag im Verlauf der Wallet, als wäre er echt. Ein Nutzer, der eine vermeintlich feststeckende Zahlung mit höherer Gebühr erneut sendete, signierte und verbreitete damit eine neue, gültige Transaktion. Sie zahlte an den Angreifer und war die erste, die das Netzwerk erreichte, denn die ursprüngliche Zahlung war nie abgeschickt worden.
Patch erfasst nur Eingaben der Wallet
Electrum 4.8.3, am 24. Oktober veröffentlicht, betrifft alle früheren Versionen. Die Lösung prüft nun die Signaturen der Eingaben, die der Wallet gehören, bevor unbestätigte Transaktionen angezeigt werden. Eingehende Transaktionen externer Absender bleiben mit dem Fix ungeprüft.
Der Electrum-Entwickler SomberNight, der die Warnmeldung veröffentlichte, wies darauf hin, dass Angreifer die Ausgabeadresse der gefälschten Transaktion so berechnen können, dass ihre letzten vier Zeichen mit dem beabsichtigten Ziel des Nutzers übereinstimmen. Wer nur das Ende einer langen Bitcoin-Adresse vergleicht, sähe dann eine scheinbare Übereinstimmung.
Bislang bestätigte Verluste
Laut Decrypt bestätigte ein Nutzer namens Raju-K12 am 18. Oktober einen Verlust, nachdem er eine manipulierte Transaktion mit höherer Gebühr erneut gesendet hatte. Der Bericht bezeichnet den Exploit als bestätigt; Angaben zur Höhe der betroffenen Summen liegen den vorliegenden Fakten nicht bei.
Offene Fragen
- Wie viele Nutzer haben bisher durch den Exploit Geld verloren?
- Wird eingehenden Transaktionen externer Absender in einer künftigen Version eine Signaturprüfung hinzugefügt?