Исследователь сообщает о сбое в Cake Wallet, который может позволить отклонять платежи в биткойнах

• Согласно его отчету, это затронет биткойн-кошельки в версиях 6.4.4 и 6.5.0.
• Предполагаемая атака требует злонамеренного сервера или посредника в сети.

Исследователь безопасности, подписавшийся как "floppy", опубликовал 24 октября отчет о предполагаемом сбое в Cake Wallet, мобильном кошельке с открытым исходным кодом. Согласно отчету, сбой позволит отклонять платежи в биткойнах в пользу злоумышленника, когда пользователь ускоряет ожидающую транзакцию. Компания не прокомментировала отчет.

Сценарий, описанный исследователем, конкретен: пользователь отправляет биткойны, транзакция остается неподтвержденной и решает заплатить больше, чтобы она была обработана быстрее. Эта функция, называемая RBF (заменить комиссией), создает копию отправки с более высокой комиссией, которая заменяет оригинал.

Согласно отчету, для создания этой копии Cake Wallet не использует свои собственные записи. Он запрашивает данные у сервера Electrum, удаленного узла, к которому подключается приложение для запроса сети без полной загрузки. Исследователь утверждает, что приложение не проверяет, совпадают ли полученные данные с запрашиваемыми.

Проще говоря, это похоже на то, как если бы вы попросили третью сторону сделать копию чека для повторной печати и подписали его, не проверяя имя получателя. Если сервер изменит адрес получателя на свой, кошелек все равно подпишет и платеж окажется в руках злоумышленника.

Кто мог бы воспользоваться этим, согласно отчету

Исследователь выделяет два профиля злоумышленника. Первый — это тот, кто управляет сервером, который использует приложение. Это может быть узел по умолчанию Cake Wallet, сторонний узел или пользовательский, который выбрал пользователь.

Второй — это посредник в сети, например, в общественном Wi-Fi. Автор утверждает, что это возможно, потому что приложение принимает любой сертификат безопасности, то есть не проверяет, является ли сервер тем, за кого он себя выдает. Согласно тому же отчету, встроенный режим Tor в Cake действительно выполняет эту проверку, поэтому этот путь будет закрыт.

Исследователь добавляет, что пользователь не сможет этого заметить. Если сервер честно ответит на первый запрос и изменит последующие, экран подтверждения покажет то же самое, что и легитимное ускорение.

Что еще нужно подтвердить

Отчет включает доказательство концепции, которое, по словам автора, было выполнено в локальной тестовой сети биткойнов. В этой среде, по его словам, подделанная замена была принята и подтверждена, с платежом, отправленным на адрес злоумышленника.

Тем не менее, сам автор уточняет, что не выполнял его против приложения, установленного на устройстве. Также нет записей о кражах, хотя его публикация в X прямо говорит о "краже через RBF". На данный момент сбой не был подтвержден третьими сторонами и не признан Cake Wallet.

Автор также заявил, что использовал инструменты искусственного интеллекта для исследования сбоя, создания доказательства и написания отчета. Этот факт делает независимый обзор отчета еще более актуальным, прежде чем считать его действительным.

Случай имеет контраст. В ответ на недавнюю кражу, затронувшую другой кошелек, Cake заявила на своем официальном форуме, что уже много лет проводит аудит такого кода. Она также сказала, что усилила эти проверки с помощью моделей ИИ.

Еще один нюанс — срок. Исследователь опубликовал отчет через пять дней после его отправки и обвинил команду в том, что она больше занята маркетингом. Этот промежуток значительно короче, чем обычные 90 дней для ответственного раскрытия уязвимостей.

Предостережения на данный момент

Отчет предлагает, чтобы приложение проверяло, что полученная транзакция соответствует запрашиваемой, и показывало на экране то, что действительно будет подписано. Пока Cake Wallet не сделает заявление, пользователи, желающие быть осторожными, могут:

• Избегать опции ускорения комиссии (Bump fee) для ожидающих отправок.
• Активировать режим Tor в приложении.
• Подключиться к собственному или доверенному серверу Electrum.

Несмотря на то, как закончится дело, отчет напоминает, что легкий кошелек зависит от сторонних серверов для просмотра сети и что каждый непроверенный данные — это данные, которым он доверяет. Если сбой подтвердится, слабость будет не в криптографии, а в этом доверии.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.