Вопросы по кошельку Electrum

[satscraper]

Разработчики Electrum в своём официальном аккаунте объявили о выходе версии 4.8.2. Они называют данный релиз очередным обновлением безопасности и поблагодарили исследователей, сообщивших о проблемах. Какие именно уязвимости закрыты и насколько они серьёзны, в анонсе не сказано. Сведений об эксплуатации нет. Затронуты пользователи кошелька Electrum на версиях до 4.8.2.

Традиционно познакомиться со всеми изменениями из новой версии можно тут: https://github.com/spesmilo/electrum/blob/master/RELEASE-NOTES
А обновиться можно тут: https://electrum.org/#download

Скорее всего правильнее говорить об исправлении изъянов чем о закрытии каких-то уязвимостей.

Самое важное исправление касается отсутствующего ключевого элемента, необходимого для принудительного закрытия канала и возврата средств в блокчейн при использовании некоторых резервных копий каналов Lightning. Проблема затрагивает только кошельки с недетерминированными ключами Lightning (созданные на основе seed-фраз до марта 2021 года, а также кошельки, созданные из seed-фраз стандарта BIP39 или импортированных ключей), использующие каналы типа anchor.

Кроме того, в этом релизе исправлен ряд мелких ошибок: например, проблемы с устаревшим кэшем баланса после реорганизации блокчейна, медленная работа или зависание камеры при сканировании QR-кодов в десктопной версии, а также сбои, связанные с удаленными объектами в графических интерфейсах Qt и QML.

Я  сообщал  об этом раннее здесь.

[Xal0lex]

Вредоносный сервер подменяет только что отправленную транзакцию, чтобы увести средства при повышении комиссии

По данным advisory, сервер, к которому подключён лёгкий клиент, может «проглотить» отправленную транзакцию и показать в истории конфликтующую подделку с теми же входами, но с выходом на адрес злоумышленника; подписи подделки не проверялись из-за дизайна лёгкого клиента. Если пользователь вручную повышает комиссию такой транзакции, он подписывает и оплачивает перевод атакующему. Разработчики сообщают, что часть серверов проводит эту атаку в реальности: получено два приватных сообщения от пользователей, один потерял средства; адрес подделки подбирался так, чтобы совпадали последние четыре символа легитимного. Исправление включено в версию 4.8.3 — клиент проверяет подписи своих (is_mine) входов у транзакций в мемпуле; «входящие» транзакции с чужими входами по-прежнему не валидируются. Ссылка на advisory в посте.

Что делать: Касается пользователей Electrum, работающих через публичные серверы. Обновитесь до 4.8.3 (бинарники выпущены) без задержки. Пока не обновились: при подписании любой транзакции, в том числе при повышении комиссии, сверяйте адреса получателей и суммы — совпадение последних символов адреса ничего не подтверждает; если в истории вместо вашей транзакции появилась неизвестная, не повышайте ей комиссию. Кто подключается только к своему или доверенному серверу — не затронут; на 4.8.3 с этим исправлением дополнительных действий не требуется.

Источник: github.com

Подробнее: sec.21ideas.org

https://t.me/bitcoin21sec/101

[Numeral]

[...]

Что делать: Касается пользователей Electrum, работающих через публичные серверы. Обновитесь до 4.8.3 (бинарники выпущены) без задержки. Пока не обновились: при подписании любой транзакции, в том числе при повышении комиссии, сверяйте адреса получателей и суммы — совпадение последних символов адреса ничего не подтверждает; если в истории вместо вашей транзакции появилась неизвестная, не повышайте ей комиссию. Кто подключается только к своему или доверенному серверу — не затронут; на 4.8.3 с этим исправлением дополнительных действий не требуется.

Теперь появилась конкретный повод чтобы обновить свою версию Electrum до последней, до этого все как-то лень было, думаешь, что вроде и так все нормально работает. А сверяю адреса я всегда и не только в Electrum, а вообще везде, потому что дарить свою криптовалюту злоумышленникам я не намерен. В Electrum молодцы, что быстро выпустили новую версию, в которой уже нет такой проблемы. Но после появления такой схемы обмана .я теперь буду тщательно проверять любые транзакции, которые требуют долго не проходят и предполагают повышение комиссии. 

[eisen33]

Теперь появилась конкретный повод чтобы обновить свою версию Electrum до последней, до этого все как-то лень было, думаешь, что вроде и так все нормально работает. А сверяю адреса я всегда и не только в Electrum, а вообще везде, потому что дарить свою криптовалюту злоумышленникам я не намерен. В Electrum молодцы, что быстро выпустили новую версию, в которой уже нет такой проблемы. Но после появления такой схемы обмана .я теперь буду тщательно проверять любые транзакции, которые требуют долго не проходят и предполагают повышение комиссии. 

Думаю что тем кто не привык повышать комиссию после отправки переживать тоже не о чем, но обновится все равно стоит. Хорошо что уязвимость касается только отдельной транзакции и не дает мошенникам доступа к вашему кошельку, уязвимость не приятная но не смертельная. Я кстати тоже всегда проверяю весь адрес целиком при отправке, как привык это делать с самого начала так и продолжаю. Хоть суммы у меня не большие, но осторожность никогда не помешает, терять свои деньги не хочется.

[satscraper]

Вредоносный сервер подменяет только что отправленную транзакцию, чтобы увести средства при повышении комиссии

По данным advisory, сервер, к которому подключён лёгкий клиент, может «проглотить» отправленную транзакцию и показать в истории конфликтующую подделку с теми же входами, но с выходом на адрес злоумышленника;

Вообще-то под угрозой оказался не только Электрум но и все другие spv клиенты , которые могут рандомно без участия пользователя подключаться к серверам, использующим Электрум протокол.

Такие  известные мне кошельки, которые ^{как и сам Электрум} уже пофиксили уязвимость, это Key Wallet and Cake wallet, но вот Sparrow до сих пор не отреагировал. Может он изначально имел иммунитет, но мне что-то в такое не верится.

Под подозрением у меня также Stack wallet.

Короче, лучше собственной ноды ничего нет.

[satscraper]

Сегодня кстати у Electrum юбилей - 15 лет как этот кошелек публично появился на свет.

Этой дате приурочен очередной " Release 4.8.4 - "15th Anniversary Edition " (November 6, 2026) (security update)".

Основное внимание обращено на работу с LN. В частности, устранена проблема, из-за которой соединение в канале разрывалось при получении некорректного onion-сообщения; теперь такие сообщения просто игнорируются.

Также внесены исправления, касающиеся восстановления кошелька старыми СИДами ^{т.е. теми которые относились к <2.0 версиям кошелька}, медленных расчетов транзакций, зависаний кошелька, аварийных завершений работы и неполадок в интерфейсе для Android.


Стоит скачать и обновиться.