⁦Electrum 4.8.3⁩ מתקנת חולשה שאפשרה לשרת זדוני להסוות גניבה כהעלאת עמלת רשת

תאריך הגרסה בהערות השחרור הוא ⁦23⁩ באוקטובר, היום שבו הקוד תויג במאגר. לפי ציר הזמן של הפרויקט, למחרת פורסמו קובצי ההתקנה והגילוי הפומבי. כלומר, מדובר בתיקון שכבר זמין להורדה, ולא רק בהבטחה לעדכון עתידי.

העסקה שעל המסך לא הייתה התשלום שהמשתמש שלח

לפי אזהרת האבטחה הרשמית של ⁦Electrum⁩ (נפתח בלשונית חדשה), השרת יכול היה לעכב את שידור העסקה המקורית ולדווח במקומה על עסקה סותרת, עם כתובת יעד של התוקף. החתימות בעסקה המזויפת לא היו תקינות, אך היא הופיעה בהיסטוריית הארנק כעסקה שטרם קיבלה אישור.

אם המשתמש בחר להעלות את העמלה שלה, הארנק חתם על העסקה החלופית. כך בקשה שנראתה כמו ניסיון לזרז תשלום קיים הייתה עלולה ליצור תשלום תקף לתוקף. הפרויקט מסר שהתקיפה כבר נצפתה בפועל ושקיבל שני דיווחי משתמשים, שאחד מהם תיאר אובדן כספים לאחר העלאת עמלה. לא פורסם באזהרה סכום נזק כולל.

בשני הדיווחים, מסרו המפתחים, כתובת התוקף הותאמה כך שארבעת התווים האחרונים שלה יהיו זהים לאלה שבכתובת המקורית. זו הסיבה שבדיקה מהירה של הסיומת בלבד אינה מספיקה. גם כאשר החלק המוכר נראה נכון, שאר הכתובת עשוי להפנות ליעד אחר.

מהו ⁦RBF⁩ ולמה העלאת עמלה דורשת חתימה

⁦RBF⁩, קיצור של ⁦Replace-By-Fee⁩, מאפשר להחליף עסקה שטרם אושרה בעסקה אחרת המשתמשת באותם כספים ומשלמת עמלה גבוהה יותר. השימוש המוכר הוא ניסיון לזרז תשלום שממתין זמן רב. זו אינה תוספת חיצונית לסכום עמלה שכבר נרשם בבלוקצ'יין, אלא יצירה של עסקה חלופית שצריכה להיחתם ולהישלח.

בתיעוד ⁦Electrum⁩ מתואר תהליך שבו בוחרים בהעלאת עמלה מתוך היסטוריית העסקאות, קובעים עמלה ואז חותמים ומשדרים. העובדה שהפעולה מתחילה מתוך שורה קיימת בארנק עלולה לגרום לה להיראות כמו שינוי טכני קטן. בפועל, החתימה מעניקה תוקף לפרטי העסקה שמוצגת באותו רגע.

עסקה ממתינה עדיין אינה עסקה שקיבלה אישור. אפשרות ההחלפה נועדה לטפל בין היתר בעיכובים, אך אינה מבטיחה זמן אישור מסוים. למי שאינו מכיר את ההבדל בין שידור עסקה לבין הכללתה בבלוק, המדריך לעמלת רשת ולאישורים בביטקוין מסביר מה בדיוק מנסים לזרז כאשר מעלים עמלה.

איפה עובר גבול האמון בשרת

⁦Electrum⁩ הוא ארנק קל שנעזר בשרתים כדי לפעול בלי לבצע במכשיר את כל עבודתו של צומת מלא. בתיעוד הרשמי מוסבר שהשרת הראשי משמש לקבלת היסטוריית עסקאות ולשידור תשלומים. עסקאות שאושרו נבדקות באמצעות אימות תשלום פשוט, המכונה ⁦SPV⁩, בעוד שבמידע על עסקאות שטרם אושרו יש הסתמכות על השרת.

התיעוד גם מבהיר שמפתח פרטי אינו נשלח לשרת. ההפרדה חשובה: התקיפה המתוארת לא חייבה את השרת לקבל מראש את המפתח, אלא ניצלה את הדרך שבה מידע שהחזיר הפך לבסיס לפעולת חתימה. שמירת המפתח בידי המשתמש אינה מבטלת את הצורך לבדוק על מה הוא חותם.

בתיקון הקוד נוספה בדיקת חתימות עבור רכיבי עסקה המוציאים כספים מכתובות השייכות לארנק, לפני קבלתה להיסטוריה המקומית. זו בדיקה ממוקדת במסלול שנוצל, ולא הפיכת ⁦Electrum⁩ לצומת מלא המאמת בעצמו כל פרט ברשת. לפי האזהרה, משתמשים המתחברים לשרת שהם סומכים עליו, למשל שרת שהם מפעילים בעצמם, אינם חשופים לתרחיש הזה מצד שרת זדוני.

איך לעדכן ולבדוק את התשלום הבא

אתר ⁦Electrum⁩ מזהיר להוריד את התוכנה רק מהאתר הרשמי, ⁦electrum.org⁩, ולאמת את חתימות ⁦GPG⁩ של הקבצים. בזמן הבדיקה ב-⁦25⁩ באוקטובר ⁦2026⁩, האתר הציג את גרסה ⁦4.8.3⁩. מומלץ להגיע לאתר בכתובת שמקלידים בעצמכם או באמצעות סימנייה מוכרת, ולבחור את הקובץ המתאים למערכת ההפעלה.

אימות חתימה בודק את הקשר בין הקובץ שהורד לבין המפתח שבו נחתם. ההנחיות הרשמיות דורשות גם להכיר את המפתח הציבורי של החותם ולבדוק את טביעת האצבע שלו מול מקור עצמאי. שם קובץ שנראה נכון אינו מספיק, וגם הורדה חוזרת אינה תחליף לאימות. כדאי לבצע את הבדיקה בכל הורדת גרסה חדשה.

לפני חתימה על תשלום, לרבות העלאת עמלה, בדקו את כתובת היעד המלאה, את הסכום ואת עמלת הרשת. השוו את היעד לפרטים המקוריים שהתקבלו מהנמען, ולא רק לשורה שהארנק מציג כעת. אם נעזרים בארנק חומרה, בדקו גם את פרטי העסקה במסך המכשיר לפני אישורה. המדריך לארנקים ומשמורת מסביר כיצד תפקיד התוכנה שונה מתפקיד אמצעי החתימה.

אם היעד או הסכום אינם תואמים, עצרו את החתימה ובדקו את מקור הפער לפני ניסיון נוסף. אין צורך למסור מילות שחזור לאדם שמציע לעזור באימות התקנה או בקריאת עסקה. במקרה של פנייה לא צפויה המציעה תיקון, כדאי להיעזר גם בסימני האזהרה להונאות קריפטו. העדכון סוגר את החולשה שפורסמה; בדיקת פרטי החתימה נשארת חלק מהשימוש היומיומי בארנק.