Electrum 4.8.3 تصلح ثغرة أخفت السرقة كزيادة لرسوم الشبكة

تاريخ الإصدار في ملاحظات النشر هو 23 أكتوبر، يوم وسم الشيفرة في المستودع. وبحسب التسلسل الزمني للمشروع، نشرت ملفات التثبيت والكشف العلني في اليوم التالي. أي إن الإصلاح متاح للتنزيل بالفعل، وليس مجرد وعد بتحديث مستقبلي.

المعاملة على الشاشة لم تكن الدفعة التي أرسلها المستخدم

بحسب التحذير الأمني الرسمي من Electrum (يفتح في علامة تبويب جديدة)، كان بإمكان الخادم تأخير بث المعاملة الأصلية والإبلاغ بدلا منها عن معاملة متعارضة، بعنوان وجهة للمهاجم. لم تكن التوقيعات في المعاملة المزيفة صالحة، لكنها ظهرت في سجل المحفظة كمعاملة لم تحصل على تأكيد بعد.

إذا اختار المستخدم زيادة رسومها، وقّعت المحفظة المعاملة البديلة. وهكذا كان طلب يبدو كمحاولة لتسريع دفعة قائمة قد ينشئ دفعة صالحة للمهاجم. وقال المشروع إن الهجوم رُصد فعليا، وإنه تلقى بلاغين من مستخدمين، وصف أحدهما فقدان أموال بعد زيادة الرسوم. ولم ينشر التحذير إجمالي الضرر المالي.

قال المطورون إن عنوان المهاجم في البلاغين ضُبط بحيث تتطابق أحرفه الأربعة الأخيرة مع أحرف العنوان الأصلي. لذلك لا يكفي الفحص السريع للنهاية وحدها. وحتى حين يبدو الجزء المألوف صحيحا، قد يوجه باقي العنوان إلى وجهة أخرى.

ما هو RBF ولماذا تستلزم زيادة الرسوم توقيعا؟

يتيح RBF، اختصار Replace-By-Fee، استبدال معاملة لم تؤكد بعد بأخرى تستخدم الأموال نفسها وتدفع رسوما أعلى. والاستخدام الشائع هو محاولة تسريع دفعة طال انتظارها. ليست هذه إضافة خارجية إلى رسوم سجلت بالفعل في سلسلة الكتل، بل إنشاء معاملة بديلة يجب توقيعها وإرسالها.

تصف وثائق Electrum عملية اختيار زيادة الرسوم من سجل المعاملات، ثم تحديد الرسوم والتوقيع والبث. وقد يجعل بدء العملية من سطر قائم في المحفظة الأمر يبدو تغييرا تقنيا صغيرا. لكن التوقيع يمنح في الواقع صلاحية لتفاصيل المعاملة المعروضة في تلك اللحظة.

المعاملة المعلقة ليست بعد معاملة مؤكدة. وتهدف إمكانية الاستبدال، ضمن أمور أخرى، إلى معالجة التأخير، لكنها لا تضمن وقت تأكيد محددا. ولمن لا يعرف الفرق بين بث المعاملة وإدراجها في كتلة، يشرح دليل رسوم الشبكة وتأكيدات بيتكوين ما الذي نحاول تسريعه تحديدا عند زيادة الرسوم.

أين تقع حدود الثقة بالخادم؟

Electrum محفظة خفيفة تستعين بالخوادم للعمل دون تنفيذ كامل أعمال العقدة الكاملة على الجهاز. وتوضح الوثائق الرسمية أن الخادم الرئيسي يستخدم لتلقي سجل المعاملات وبث المدفوعات. وتفحص المعاملات المؤكدة بواسطة التحقق المبسط من الدفع، المعروف باسم SPV، بينما تعتمد المعلومات عن المعاملات غير المؤكدة على الخادم.

وتوضح الوثائق أيضا أن المفتاح الخاص لا يرسل إلى الخادم. وهذا الفصل مهم: لم يتطلب الهجوم الموصوف حصول الخادم على المفتاح مسبقا، بل استغل الطريقة التي تحولت بها المعلومات التي أعادها إلى أساس لعملية توقيع. احتفاظ المستخدم بالمفتاح لا يلغي ضرورة فحص ما يوقّعه.

أضاف إصلاح الشيفرة فحص توقيعات مكونات المعاملة التي تنفق أموالا من عناوين تخص المحفظة، قبل قبولها في السجل المحلي. هذا فحص محدد للمسار المستغل، وليس تحويلا لElectrum إلى عقدة كاملة تتحقق بنفسها من كل تفصيل في الشبكة. ووفقا للتحذير، فإن المستخدمين المتصلين بخادم يثقون به، مثل خادم يشغلونه بأنفسهم، غير معرضين لهذا السيناريو من خادم خبيث.

كيف تحدّث وتفحص الدفعة التالية؟

يحذر موقع Electrum من تنزيل البرنامج إلا من الموقع الرسمي electrum.org، ويدعو إلى التحقق من توقيعات GPG للملفات. وعند الفحص في 25 أكتوبر 2026، كان الموقع يعرض الإصدار 4.8.3. يوصى بالوصول إلى الموقع عبر عنوان تكتبه بنفسك أو علامة مرجعية معروفة، واختيار الملف الملائم لنظام التشغيل.

يفحص التحقق من التوقيع العلاقة بين الملف المنزل والمفتاح الذي وقّع به. وتتطلب التعليمات الرسمية أيضا معرفة المفتاح العام للموقّع ومقارنة بصمته بمصدر مستقل. لا يكفي اسم ملف يبدو صحيحا، ولا يغني تكرار التنزيل عن التحقق. ويجدر إجراء الفحص عند تنزيل كل إصدار جديد.

قبل توقيع دفعة، بما في ذلك زيادة الرسوم، تحقق من عنوان الوجهة كاملا والمبلغ ورسوم الشبكة. قارن الوجهة بالتفاصيل الأصلية الواردة من المستلم، لا بالسطر الذي تعرضه المحفظة الآن فقط. وإذا كنت تستعين بمحفظة أجهزة، فافحص تفاصيل المعاملة أيضا على شاشة الجهاز قبل الموافقة. يشرح دليل المحافظ والحفظ كيف يختلف دور البرنامج عن دور أداة التوقيع.

إذا لم تتطابق الوجهة أو المبلغ، فأوقف التوقيع وافحص مصدر الاختلاف قبل المحاولة مجددا. لا حاجة إلى تسليم عبارة الاسترداد لمن يعرض المساعدة في التحقق من التثبيت أو قراءة معاملة. وعند تلقي تواصل غير متوقع يعرض إصلاحا، يمكن الاستعانة أيضا بعلامات التحذير من احتيال الكريبتو. يغلق التحديث الثغرة المنشورة؛ ويبقى فحص تفاصيل التوقيع جزءا من الاستخدام اليومي للمحفظة.