باحث يبلّغ عن خلل في محفظة Cake Wallet قد يسمح بتحويل مدفوعات البيتكوين

• وفقًا لتقريره، سيؤثر على محافظ البيتكوين في الإصدارات 6.4.4 و 6.5.0.
• يتطلب الهجوم المزعوم خادمًا ضارًا أو وسيطًا في الشبكة.

باحث أمني يحمل اسم "floppy" نشر في 24 أكتوبر تقريرًا عن خلل مزعوم في محفظة Cake Wallet، وهي محفظة موبايل مفتوحة المصدر. وفقًا للتقرير، سيسمح الخلل بتحويل مدفوعات البيتكوين إلى مهاجم عندما يقوم المستخدم بتسريع معاملة معلقة. لم تصدر الشركة أي بيان حول التقرير.

السيناريو الذي يصفه الباحث محدد: يقوم المستخدم بإرسال البيتكوين، وتبقى المعاملة غير مؤكدة، ويقرر دفع المزيد لتتم معالجتها بسرعة أكبر. هذه الوظيفة، المعروفة باسم RBF (استبدال الرسوم)، تخلق نسخة من الإرسال برسوم أعلى تحل محل الأصل.

وفقًا للتقرير، لا تستخدم Cake Wallet سجلاتها الخاصة لإنشاء هذه النسخة. بل تطلب البيانات من خادم Electrum، وهو الجهاز البعيد الذي تتصل به التطبيق لاستشارة الشبكة دون تنزيلها بالكامل. يدعي الباحث أن التطبيق لن يتحقق من أن ما تم استلامه يتطابق مع ما طلبه.

بعبارة بسيطة، سيكون الأمر كأن تطلب من طرف ثالث نسخة من شيك لإعادة طباعته وتوقيعه دون مراجعة اسم المستفيد. إذا قام الخادم بتغيير عنوان المستلم إلى عنوانه، ستقوم المحفظة بالتوقيع على أي حال وستنتهي المدفوعات في يد المهاجم.

من يمكنه الاستفادة من ذلك، وفقًا للتقرير

يحدد الباحث نوعين من المهاجمين. الأول سيكون من يدير الخادم الذي تستخدمه التطبيق. يمكن أن يكون العقد الافتراضي لمحفظة Cake، أو أحد الأطراف الثالثة، أو واحدًا مخصصًا اختاره المستخدم.

الثاني سيكون وسيطًا في الشبكة، مثل في واي فاي عام. يؤكد المؤلف أن هذا ممكن لأن التطبيق يقبل أي شهادة أمان، أي أنه لن يتحقق مما إذا كان الخادم هو ما يدعي أنه. وفقًا لنفس التقرير، فإن وضع Tor المدمج في Cake يقوم بالفعل بهذا التحقق، لذا ستبقى هذه الطريقة مغلقة.

يضيف الباحث أن المستخدم لن يكون لديه طريقة لاكتشاف ذلك. إذا استجاب الخادم بصدق للاستفسار الأول وغير الاستفسارات التالية، ستظهر شاشة التأكيد نفس ما تظهره تسريع شرعي.

ما الذي يتبقى لتأكيده

يتضمن التقرير اختبارًا تجريبيًا، وفقًا للمؤلف، تم تنفيذه في شبكة اختبار محلية للبيتكوين. في ذلك السياق، يؤكد أن الاستبدال المزيف تم قبوله وتأكيده، مع إرسال المدفوعات إلى عنوان المهاجم.

ومع ذلك، يوضح المؤلف نفسه أنه لم ينفذ ذلك ضد التطبيق المثبت على جهاز. كما لا توجد سجلات للسرقات، على الرغم من أن نشره على X يتحدث مباشرة عن "سرقة عبر RBF". حتى الآن، لم يتم التحقق من الخلل من قبل أطراف ثالثة أو الاعتراف به من قبل Cake Wallet.

كما صرح المؤلف أنه استخدم أدوات الذكاء الاصطناعي للتحقيق في الخلل، وإنشاء الاختبار وصياغة التقرير. هذه المعلومة تجعل مراجعة مستقلة للتقرير أكثر أهمية قبل اعتباره صالحًا.

توجد تناقضات في القضية. في مواجهة سرقة حديثة أثرت على محفظة أخرى، أكدت Cake في منتداها الرسمي أنها تقوم بمراجعة هذا النوع من التعليمات البرمجية منذ سنوات. كما قالت إنها عززت تلك المراجعات باستخدام نماذج الذكاء الاصطناعي.

هناك أيضًا نقطة أخرى تتعلق بالمدة. نشر الباحث التقرير بعد خمسة أيام من إرساله واتهم الفريق بأنه مشغول أكثر بالتسويق. هذه المدة أقصر بكثير من 90 يومًا المعتادة في الكشف المسؤول عن الثغرات.

احتياطات في هذه الأثناء

يقترح التقرير أن يتحقق التطبيق من أن المعاملة المستلمة تتوافق مع ما طلبه ويعرض على الشاشة ما سيقوم بتوقيعه فعليًا. بينما لم تصدر Cake Wallet أي بيان، يمكن للمستخدمين الذين يرغبون في اتخاذ احتياطات:

• تجنب خيار تسريع الرسوم (Bump fee) في الإرساليات المعلقة.
• تفعيل وضع Tor في التطبيق.
• الاتصال بخادم Electrum خاص أو موثوق.

بعيدًا عن كيفية انتهاء القضية، يذكر التقرير أن محفظة خفيفة تعتمد على خوادم خارجية لرؤية الشبكة، وأن كل بيانات لا تتحقق منها هي بيانات تثق بها. إذا تم تأكيد الخلل، فإن الضعف لن يكون في التشفير، بل في تلك الثقة.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.