Ví Electrum phát hành bản 4.8.3 vá lỗ hổng cho phép máy chủ độc hại chuyển hướng Bitcoin, sau khi ít nhất một người dùng bị mất tiền.
Electrum, một trong những ví phần mềm Bitcoin lâu đời nhất, đã phát hành bản vá cho lỗ hổng bảo mật mức độ nghiêm trọng cao vào cuối tuần qua. Lỗ hổng cho phép các máy chủ độc hại thao túng giao dịch đang chờ xác nhận và chuyển hướng tiền đến địa chỉ do kẻ tấn công kiểm soát. Mọi phiên bản trước 4.8.3 đều bị ảnh hưởng, và ít nhất một người dùng đã xác nhận bị mất tiền.
Cuộc tấn công khai thác cơ chế tin cậy của ví đối với các giao dịch chưa được xác nhận. Khi người dùng phát đi lệnh thanh toán qua một máy chủ bị xâm nhập, máy chủ này có thể chặn giao dịch thật và chèn vào một giao dịch giả mạo xung đột, hiển thị địa chỉ nhận của kẻ tấn công cùng mức phí bằng không, khiến khoản thanh toán trông như đang bị đình trệ. Do Electrum không xác minh chữ ký số với các giao dịch chưa xác nhận do máy chủ cung cấp, giao dịch giả vẫn xuất hiện hợp lệ trong lịch sử ví.
Cái bẫy nằm ở bước tiếp theo. Khi người dùng thực hiện tăng phí giao dịch để đẩy nhanh khoản thanh toán tưởng như bị kẹt, họ thực chất ký và phát đi một giao dịch hoàn toàn hợp lệ, nhưng với địa chỉ nhận thuộc về kẻ tấn công. Vì giao dịch gốc chưa từng được gửi lên mạng, giao dịch tăng phí trở thành giao dịch đầu tiên được ghi nhận, và tiền rơi vào tay tin tặc.
Theo nhà phát triển có biệt danh SomberNight, người công bố cảnh báo bảo mật, kẻ tấn công còn có thể liên tục tạo địa chỉ cho đến khi tìm được địa chỉ có bốn ký tự cuối trùng với địa chỉ người dùng định chuyển đến, đánh lừa những ai chỉ kiểm tra nhanh phần đuôi địa chỉ. Cảnh báo xác nhận một số máy chủ đã thực hiện hình thức tấn công này trong thực tế.
Người dùng dannydeezy lần đầu báo cáo hành vi bất thường ngày 11/10, song không bị thiệt hại do giao dịch giả không được truyền ra ngoài máy chủ cục bộ. Đến ngày 18/10, người dùng Raju-K12 báo cáo trường hợp mất tiền được xác nhận sau khi tăng phí cho một giao dịch đã bị can thiệp.
Khoảng trống chưa được lấp đầy
Phiên bản 4.8.3 khắc phục điểm yếu chính bằng cách xác minh chữ ký mật mã với các đầu vào giao dịch thuộc quyền kiểm soát của ví trước khi đưa bất kỳ giao dịch chưa xác nhận nào vào lịch sử cục bộ. Không có chữ ký hợp lệ, thứ kẻ tấn công không thể giả mạo, máy chủ không còn chèn được giao dịch giả liên quan đến địa chỉ người dùng. Bản sửa lỗi được đánh dấu phiên bản trên kho mã nguồn ngày 23/10 và tệp thực thi được phát hành ngày hôm sau.
Tuy vậy, bản vá chưa triệt để. Các giao dịch nhận tiền từ bên ngoài, vốn không chứa đầu vào nào thuộc ví người dùng, vẫn được chấp nhận mà không cần xác minh chữ ký. SomberNight thừa nhận khoảng trống này và cho biết cần thêm biện pháp kỹ thuật để xử lý hoàn toàn.
Đây không phải lần đầu Electrum trở thành mục tiêu. Năm 2018, một chiến dịch dùng máy chủ giả mạo để gửi thông báo cập nhật phần mềm giả, và đến năm 2020 được ước tính đã đánh cắp khoảng 25 triệu USD. Mô hình máy chủ mở, cho phép bất kỳ ai vận hành một nút mạng (node), vừa là đặc điểm phi tập trung của Electrum, vừa là điểm yếu cấu trúc tạo điều kiện cho các cuộc tấn công này.
Người dùng chỉ kết nối với máy chủ do chính mình vận hành không bị ảnh hưởng. Những ai chưa thể cập nhật ngay được khuyến nghị kiểm tra thủ công toàn bộ địa chỉ nhận và số tiền trước khi ký bất kỳ giao dịch nào. Phiên bản 4.8.3 hiện có trên trang chính thức electrum.org và kho mã nguồn GitHub của dự án.
