Electrum发布4.8.3版本,修复比特币(BTC)钱包付款被重定向至攻击者的漏洞

恶意服务器调换待确认付款

连接到Electrum比特币(BTC)钱包的恶意服务器通过调包待确认交易的方式窃取用户资金:服务器先把用户的真实付款替换成一笔伪造交易,用户为了让卡住的付款重新入块而执行手续费追加(Replace-by-Fee)时,签名的实际上是一笔把资金直接送进攻击者控制地址的全新交易。钱包开发团队已于10月24日(星期六)发布修复版本4.8.3,封堵了这一影响此前所有版本的高危漏洞。本次事件没有对比特币价格造成影响,也没有触及比特币网络本身;被利用的是Electrum针对未确认交易的信任模型,即轻钱包依赖所连接的服务器,而非自行验证付款。当用户经由一台被攻陷的服务器广播付款时,该服务器可以压制真实交易,注入一笔显示攻击者钱包地址且手续费为零的冲突交易。这笔伪造记录会以看似正常的待确认付款形式留在历史中,看起来像是一笔卡住未确认的转账;由于Electrum不对服务器递交的未确认交易验证签名,界面上没有任何提示能够识破伪造。用户一旦对卡住的付款执行手续费追加,就会签名并广播一笔完全有效的新交易,它也是第一笔真正到达网络的交易,其输出直接支付给攻击者,而原始付款从未被发出。

Electrum团队发布在GitHub上的安全公告指出,执行此类攻击的服务器已在实际环境中被观察到,并附有两份用户报告。一位用户在10月11日(星期日)以dannydeezy的名义报告了可疑的服务器行为,那笔被篡改的交易没有传播到本地服务器之外,因此没有资金损失。第二位用户Raju-K12则在10月18日(星期日)确认了真实损失,他在对一笔被服务器篡改的交易执行手续费追加后资金被盗。公告还披露了第二层欺骗手法:攻击者可以逐位“研磨”伪造输出地址,使其最后四个字符与用户原本目标地址的结尾一致,从而骗过那些在签名前只检查长地址末尾的用户。

4.8.3封堵主要攻击面

4.8.3版本于10月23日(星期五)在Electrum代码仓库打上标签,并在官方公告中作了说明。该版本在未确认交易进入本地历史之前,先对属于钱包自身的输入验证加密签名,从而封堵了主要攻击面。服务器今后无法再注入一笔触及用户自己地址却不附带有效签名的伪造交易,而签名是攻击者无法伪造的。4.8.3版本二进制文件已于10月24日发布。公告同时承认仍有一处缺口:来自外部发送方的收款交易,由于其输入均不属于用户钱包,依然在不验证签名的情况下被接受,封堵这条路径需要额外开发工作,团队尚未排期。开放的区块链节点模型正是这类攻击得以存在的前提:任何人都可以运行一台Electrum节点,钱包本身没有任何内建机制判断哪台服务器是诚实的。这种委托是设计上有意做出的取舍,它让轻客户端保持快速和轻量;4.8.3现在把用户自有输入的部分验证职责交还给钱包本身。对于这个长期运营的比特币钱包项目而言,这并非第一次遭遇同类攻击:2018年的一波攻击利用恶意服务器推送伪造的更新通知,到2020年已从Electrum用户处窃取约2500万美元。只连接自己运行的服务器的用户不受本次漏洞影响。暂时无法升级的用户应当在签名任何交易前人工核对输出地址和金额;团队尚未披露10月18日确认损失之外的其他损失,两份用户报告也是目前仅有的记录在案的案例。4.8.3版本可在electrum.org及项目的GitHub仓库下载。

这个攻击机制值得仔细拆解,因为它把用户最有责任感的动作变成了武器:对卡住的付款执行手续费追加本是正确应对,而零手续费伪造交易正是刻意设计成这样一笔“卡住”的付款。严格来说,本次漏洞并非重放攻击:受害者签名的交易是全新的、有效的,只是付给了错误的对象。我们对公告的解读是:用户应立即升级至4.8.3版本,核对完整钱包地址而非仅看结尾字符,并把长期持仓存入冷钱包或硬件钱包,这样可以把服务器完全排除在签名路径之外。自4.8.3起主要攻击面已经关闭;对外部发送交易的免验证路径仍然开放,团队没有给出封堵该路径的时间表。