Electrumがバージョン4.8.3をリリース、高危脆弱性を修正し悪意あるサーバーによる未確認トランザクションの改ざんを防止

Odaily星球日报ニュース：ビットコインソフトウェアウォレットのElectrumは10月24日、バージョン4.8.3をリリースし、高危脆弱性を修正した。悪意あるサーバーはこの脆弱性を利用して未確認トランザクションを改ざんし、ユーザー資金を攻撃者のアドレスに誘導することが可能である。この脆弱性は4.8.3以前のすべてのバージョンに影響する。

攻撃者は、ユーザーが制御されたサーバーを通じてブロードキャストする支払いを傍受し、手数料ゼロと表示される偽の競合トランザクションを注入することができる。ユーザーがスタックしたように見えるトランザクションの手数料を引き上げると、署名されブロードキャストされた新しいトランザクションが資金を攻撃者のアドレスに送金する可能性がある。少なくとも1名のユーザーが、10月18日にこれにより資金を損失したと報告している。

今回のパッチは、未確認トランザクションをローカル記録に追加する前に、ウォレット自身のインプットの署名を検証する。外部の送信者からのもので、インプットがすべてユーザーのウォレットに属さないトランザクションについては、依然として署名検証が行われていない。Electrum開発者のSomberNight氏は、このギャップを閉じるには追加の作業が必要であると述べている。（Decrypt）