Electrum 4.8.3 修复可让恶意服务器替换交易的比特币(BTC)钱包漏洞

4.8.3 补上服务端漏洞

Electrum于10月24日星期六发布4.8.3版本,并在开发者确认恶意钱包服务器利用了该比特币(BTC)钱包此前所有版本均存在的缺陷后,敦促用户立即升级。漏洞细节记录在GitHub安全公告GHSA-6jp4-8v48-cc5v中,其运作方式相当少见:一台被攻陷的服务器可以悄悄把用户自己的一笔付款替换成一笔支付给攻击者的交易,然后等待持币人亲自确认这笔盗窃。这不是纸面上的弱点,而是一次真实发生过的攻击,因此官方公告直接写明了立即升级的警告。Electrum是一款轻量级钱包,交易历史、手续费估算和交易广播都依赖外部服务器完成。这种设计让客户端保持小巧,却也把对用户所见内容的一定影响力交给了每台服务器。Electrum本身会独立验证已确认的交易,但旧版本在接受某些未确认交易时并不检查其签名,这一差异的根源正是区块链历史上长期存在的可锻性问题,也是隔离见证(Segregated Witness)当年要解决的问题。攻击者利用的正是这道缺口。一台恶意服务器可以拦截一笔正常付款,阻止其广播,然后替换成一笔把资金送往攻击者地址的伪造交易。被替换的交易签名无效,钱包却把它当作一笔普通的待确认付款显示出来,屏幕上没有任何提示。由于整个攻击发生在钱包软件层面而非网络共识规则中,这次事件从未危及比特币价格或链上运行,协议本身完好无损。但这起发现对客户端层面的比特币钱包安全仍然意义重大:所有旧版本的用户在被要求升级之前,都被提醒要谨慎对待每一笔待确认付款。

陷阱在用户尝试通过RBF(Replace-By-Fee,手续费替代)为卡住的付款提高手续费时收网。RBF是比特币的一项机制,允许一笔待确认交易以更高的费率重新广播。受害者本想给原付款加价,却在不知不觉中签下了一笔替换交易,等于授权把自己的币转给攻击者。骗术还有更深一层:攻击者生成的收款地址,末尾四个字符与目标地址完全一致,粗略对比几乎看不出破绽。报告中的其中一笔伪造交易甚至把手续费设为零,目的显然是诱导受害者主动调整手续费,从而以这种方式完成盗窃。开发团队共收到两份私密报告。10月11日,用户dannydeezy报告了一笔交易被替换的情况,当时其背后的手续费提升机制尚未被完全理解。10月18日,用户Raju-K12报告在确认手续费提升后丢失资金,这份报告证明攻击已在现实中得手,而不只是理论推演。修复通过提交90fe308完成:任何花费钱包内币的未确认交易,现在必须先通过签名验证。签名无效的伪造交易会在进入钱包本地交易历史之前被直接拒绝。使用4.8.3之前版本的用户应只从electrum.org下载更新,并核验加密签名。在完成升级之前,开发者建议在每一次签名前核对收款地址和金额,调整手续费时也不例外。只连接可信、自托管Electrum服务器的用户,从未暴露在这类基于服务器的攻击之下。这起事件留下一个耐人寻味的悖论:一款以保护私钥为使命的钱包,仍然可能被引导为其主人从未打算支付的款项请求一个完全合法的签名。

补丁之后的服务器信任问题

Electrum此次加上的控制范围很窄,也最能说明问题:任何花费钱包内币的未确认交易,客户端现在必须先验证其签名才会存储。整条攻击链都建立在一条多数轻钱包用户从未注意到的信任关系之上,因为客户端把历史记录和广播外包给了自己无法控制的服务器。从这个角度看,这次失败与重放攻击是近亲:两者都是让用户签下一笔自己从未想授权的付款。现实中的教训落在服务器选择与自我托管上。使用自托管服务器的用户毫发无损,这一事实会为比特币至上主义阵营验证而非信任的立场再添论据,也会促使部分大额持币者转向Tangem Mobile Wallet之类的硬件方案。对其他所有人而言,核对地址末尾四位字符的习惯,加上4.8.3的签名规则,就是把这道缺口关上的两件事。