Resmî sürüm notları, 4.8.3'ü güvenlik güncellemesi olarak tanımlıyor. Yayımlanan güvenlik duyurusu artık açıklanan saldırının nasıl işlediğini anlatıyor ve açığın kullanıldığına ilişkin bildirimleri doğruluyor. Duyuru, bu açığı yüksek önem derecesinde sınıflandırıyor.
Bir takas işlemi için Electrum üzerinden Bitcoin gönderenlerin öncelikle onayladıkları işleme bakması gerekiyor. Özel anahtarların kontrolünü elinde tutmak, cüzdan yazılımının bu anahtarlarla neyi imzalamak istediğini kontrol etme gereğini ortadan kaldırmıyor.
Ücret artırımı ödemeyi nasıl başka adrese yönlendirebiliyordu
Electrum'un güvenlik duyurusuna göre kötü niyetli bir sunucu, yeni yayımlanan işlemi iletmeyip cüzdanda onun yerine çakışan başka bir işlem gösterebiliyordu. Bu işlemde alıcı, saldırganın adresiydi. İmzaları geçersiz olsa da eski istemci işlemi onaylanmamış bir ödeme olarak gösterebiliyordu.
Belirleyici adım, kullanıcının RBF olarak bilinen ücretle değiştirme mekanizması üzerinden bu ödemenin ücretini artırmasıydı. Yeni işlemi imzalamak, daha önce geçersiz olan işlemi saldırgana giden geçerli bir ödemeye dönüştürebiliyordu. Dolayısıyla saldırı, sunucunun özel anahtarları doğrudan almasına değil, yanıltıcı işlem geçmişinin ardından kullanıcının imza vermesine dayanıyordu.
Kimler güncelleme yapmalı
Duyuruda 4.8.3'ten önceki sürümler etkilenmiş, 4.8.3 ise düzeltilmiş sürüm olarak listeleniyor. Kullanıcının kendi işlettiği sunucu gibi güvenilir sunuculara bağlı istemcilerin bu özel saldırıdan etkilenmediği belirtiliyor. Bu istisna, güvenlik güncellemelerini bırakmak için gerekçe olarak görülmemeli.
Açıklanan saldırı, işlem yapılmasını ve imza verilmesini gerektiriyor. Bilgisayarda eski Electrum sürümünün bulunması, kullanılmayan çevrimdışı bir cüzdanın kendiliğinden boşaltılabileceğini göstermiyor. Buna karşılık anahtarları elinizde tutmanız da değiştirilmiş bir ödemeyi onaylamanızı engellemeye yetmiyor. Kripto cüzdanları rehberimiz, kendi anahtarlarınızı saklamanın getirdiği sorumlulukları açıklıyor.
Kurtarma ifadenizi paylaşmadan güncelleyin
Electrum'un resmî indirme sayfasında sürüm dosyaları ve imzaları yer alıyor. Belgeler, cüzdan dosyalarının uygulamadan ayrı saklandığını açıklıyor. Normal bir güncelleme, yazılım kurulumudur; varlıkları yeni bir adrese gönderme talebi değildir.
- Yazılımı değiştirmeden önce kurtarma yedeğinizin elinizde ve çevrimdışı olarak saklandığını kontrol edin. Güncelleme için ifadenin fotoğrafını çekmeyin veya internete yüklemeyin.
- Kurulum dosyasını yalnızca Electrum'un resmî indirme sayfasından edinin. Reklamlardan, özel mesajlardan ve beklenmedik uyarılardaki indirme düğmelerinden uzak durun.
- İlgili GPG imzasını projenin talimatlarına göre doğrulayın. İmzalama anahtarının parmak izini bağımsız ve güvenilir bir kaynaktan kontrol edin; bir anahtarı indirmek tek başına özgünlüğünü kanıtlamaz.
- Doğruladığınız sürümü kurun, cüzdanı yeniden açın ve sürüm numarasını kontrol edin. Kurtarma ifadenizi hiçbir web sitesine veya güncelleme ya da güvenlik kontrolü için bunu isteyen açılır pencereye girmeyin.
İmza doğrulaması, indirilen dosyayı kimin imzaladığını ve dosyanın değişip değişmediğini kontrol eder. Daha sonra yapacağınız her ödemeyi güvenli hâle getirmez. Doğrulama başarısız olursa veya doğru anahtarı belirleyemezseniz kurulumu durdurun ve tutarsızlığı resmî belgeler yardımıyla giderin.
Yalnızca durumu değil, ödemenin kendisini kontrol edin
İmzalamadan önce alıcı adresinin tamamını, tutarı ve ücreti yapmak istediğiniz ödemeyle karşılaştırın. Duyuruya göre bildirilen iki vakada saldırgan adresleri, gerçek adreslerin son dört karakteriyle eşleşiyordu. Yalnızca adresin sonuna bakmak bu değişikliği fark etmeye yetmeyecekti.
Beklenmedik bir bekleyen işlem, ücret artırılmadan önce incelenmeli. Uyarı işaretleri için kripto dolandırıcılıkları rehberimize, transfer kontrolleri için kripto gönderme ve alma rehberimize bakabilirsiniz. Bir ödemenin cüzdan geçmişinde görünmesi, onun oluşturduğunuz ödeme olduğunu veya ağ tarafından kabul edildiğini tek başına kanıtlamaz.
Açıklama hangi soruları yanıtsız bırakıyor
Electrum, saldırıyla ilgili iki kullanıcı bildirimi aldığını ve bunlardan birinde kullanıcının ücret artırdıktan sonra varlık kaybettiğini belirtiyor. Kötü niyetli sunucuların saldırıyı uyguladığını da söylüyor. Duyuruda doğrulanmış bir toplam mağdur veya kayıp tutarı yer almıyor; bu bildirimler olayın tüm ölçeği gibi sunulmamalı.
Düzeltme, onaylanmamış işlemlerde cüzdana ait girdilerin imzalarının kontrol edilmesini sağlıyor. Electrum, doğrulama kapsamı sınırlı olan hafif bir istemci olarak çalışmaya devam ettiğini de açıklıyor. Güncelleme açıklanan açığı gideriyor; Bitcoin gönderirken veya takas ederken her ödemeyi incelemek yine gerekli.
