รายงานล่าสุดที่ได้รับระบุว่า Electrum ได้แก้ไขช่องโหว่ร้ายแรงของวอลเล็ต ซึ่งอาจเปิดทางให้เซิร์ฟเวอร์อันตรายสลับปลายทางการชำระเงินบิตคอยน์ระหว่างการปรับเพิ่มค่าธรรมเนียม จนผู้ใช้ลงนามในธุรกรรมทดแทนที่ถูกปลอมแปลงได้ รายงานเดียวกันระบุว่าเวอร์ชันก่อน 4.8.3 ได้รับผลกระทบ มีผู้ใช้หนึ่งรายสูญเสียเงิน และผู้ใช้ควรอัปเดตซอฟต์แวร์พร้อมตรวจสอบที่อยู่ผู้รับและจำนวนเงินอีกครั้งก่อนลงนาม

การโจมตี Electrum ตามรายงานเกิดขึ้นได้อย่างไร

รายงานที่มีอยู่กล่าวถึงการโจมตีด้วยการสับเปลี่ยนธุรกรรม ไม่ใช่ข้ออ้างในวงกว้างว่าการชำระเงินทุกรายการผ่าน Electrum จะถูกเปลี่ยนปลายทางโดยอัตโนมัติ ข้อมูลด่วนที่ให้มาระบุว่า หลังจากส่งธุรกรรมแล้ว เซิร์ฟเวอร์อันตรายอาจเข้าแทรกแซง และใช้กระบวนการ Replace-by-Fee หรือ RBF เพื่อหลอกให้วอลเล็ตลงนามธุรกรรมทดแทนปลอมแทนธุรกรรมเดิม

จุดอ่อนที่รายงานจึงอยู่ในขั้นตอนการเพิ่มค่าธรรมเนียม เมื่อผู้ใช้พยายามเพิ่มค่าธรรมเนียมขุดให้ธุรกรรมบิตคอยน์ที่ยังรอดำเนินการ วอลเล็ตอาจต้องลงนามธุรกรรมฉบับใหม่ ข้อมูลด่วนระบุว่าเซิร์ฟเวอร์อันตรายสามารถสลับปลายทางไปยังที่อยู่ภายใต้การควบคุมของผู้โจมตีในขั้นตอนนี้ พร้อมเพิ่มค่าธรรมเนียมไปด้วย ทำให้ดูเหมือนเป็นเพียงการเร่งยืนยันธุรกรรมตามปกติ

ข้อความตัวอย่างจากผลการค้นหาของ The Defiant อธิบายรูปแบบพื้นฐานเดียวกัน โดยระบุว่าเซิร์ฟเวอร์อันตรายอาจแทนที่การชำระเงินด้วยรายการปลอม และหลอกให้ผู้ใช้ลงนามในขณะที่มีการเพิ่มค่าธรรมเนียมธุรกรรม รายงานเหล่านี้ร่วมกันชี้ไปที่ปัญหาความน่าเชื่อถือของหน้าจอลงนามที่เกี่ยวข้องกับธุรกรรมทดแทน ไม่ใช่ข้อกล่าวอ้างว่าคีย์ส่วนตัวของ Electrum รั่วไหลโดยตรง

ข้ออ้างว่าแก้ไขแล้วในเวอร์ชัน 4.8.3 มีความหมายต่อผู้ใช้อย่างไร

จากรายงานที่ให้มา สิ่งที่ผู้ใช้ควรทำทันทีคืออัปเดต และตรวจสอบที่อยู่ผู้รับกับจำนวนเงินก่อนลงนามธุรกรรมใด ๆ นี่คือคำตอบเชิงปฏิบัติที่ชัดเจนที่สุดต่อคำถามว่าประเด็นนี้ควรเปลี่ยนพฤติกรรมผู้ใช้ในตอนนี้หรือไม่ เพราะแม้จะมีการอ้างว่าแก้ไขซอฟต์แวร์แล้ว การตรวจทานธุรกรรมยังคงเป็นแนวป้องกันหลักต่อการถูกสลับการชำระเงิน

อย่างไรก็ดี ยังมีความไม่แน่นอนสำคัญเกี่ยวกับเวอร์ชันที่แก้ไขปัญหาโดยเฉพาะ ข้อมูลด่วนที่ให้มาระบุว่าปัญหานี้กระทบเวอร์ชันก่อน 4.8.3 และได้รับการแก้ไขใน 4.8.3 แต่หลักฐานที่ให้มายังไม่มีบันทึกการออกรุ่นหรือประกาศด้านความปลอดภัยของ Electrum ที่อ่านยืนยันเวอร์ชันดังกล่าวได้โดยตรง ข้อความตัวอย่างจากผลการค้นหาบนเว็บไซต์ของ Electrum เองแสดงว่า 4.8.2 เป็นรุ่นล่าสุด ดังนั้น การแก้ไขใน 4.8.3 จึงควรถูกมองเป็นเพียงข้ออ้างตามรายงาน ไม่ใช่สถานะการออกรุ่นที่ยืนยันโดยตรง

ความไม่แน่นอนดังกล่าวไม่ได้ลบล้างกลไกการโจมตีที่มีรายงาน แต่ทำให้ไม่สามารถระบุรายละเอียดของการแก้ไขได้อย่างแม่นยำ ผู้อ่านไม่ควรสันนิษฐานว่าการอัปเดตเพียงอย่างเดียวจะขจัดความเสี่ยงทั้งหมดจากเซิร์ฟเวอร์อันตราย และหลักฐานที่ให้มายังไม่ได้ยืนยันว่าแพลตฟอร์ม โหมดวอลเล็ต หรือธุรกรรม RBF ทั้งหมดของ Electrum ได้รับผลกระทบในลักษณะเดียวกัน

สิ่งที่ยืนยันได้จริงจากรายงานปัจจุบัน

ประเด็นที่มีหลักฐานรองรับมากที่สุด ได้แก่ ความเสี่ยงที่รายงานเกี่ยวข้องกับเซิร์ฟเวอร์อันตราย เส้นทางการขโมยที่ถูกกล่าวหาเชื่อมโยงกับการลงนามธุรกรรมทดแทนระหว่างเพิ่มค่าธรรมเนียม และคำแนะนำสำหรับผู้ใช้คือให้อัปเดตและตรวจสอบปลายทางกับจำนวนเงินอย่างรอบคอบก่อนลงนาม ข้อมูลด่วนที่ให้มายังระบุว่า Electrum ได้รับรายงานที่เกี่ยวข้องสองฉบับ และมีผู้ใช้หนึ่งรายสูญเสียเงิน

สิ่งที่ยังไม่ได้รับการยืนยันจากหลักฐานที่ให้มาก็มีความสำคัญไม่แพ้กัน ไม่มีประกาศจาก Electrum ที่อ่านได้โดยตรงเพื่อยืนยันจำนวนเหตุการณ์ ไม่มีหน้าการออกรุ่นต้นทางที่ได้รับการตรวจสอบซึ่งพิสูจน์ว่า 4.8.3 เป็นเวอร์ชันแก้ไขที่เผยแพร่อยู่ และไม่มีขอบเขตผลกระทบที่ยืนยันแล้วสำหรับแพลตฟอร์มหรือการตั้งค่าวอลเล็ตเฉพาะเจาะจง ดังนั้น ภาพรวมในขณะนี้ควรถูกมองว่าเป็นความเสี่ยงที่น่าเชื่อถือจากการลงนามผ่านวอลเล็ตตามรายงาน ขณะที่ข้อมูลต้นทางเกี่ยวกับเวอร์ชันที่แน่ชัดยังไม่คลี่คลาย