일렉트럼, 비트코인 송금 가로채던 취약점에 제동

일렉트럼은 이전 버전에서 악성 서버가 미확인 비트코인 거래를 조작할 수 있었던 심각도 높은 취약점을 수정하기 위해 10월 24일 버전 4.8.3을 출시했다. 악성 서버는 실제 결제를 숨기고 이와 충돌하는 가짜 거래를 표시해 거래가 지연되는 것처럼 보이게 할 수 있었다. 이후 사용자가 해당 거래의 수수료를 높이면 공격자의 주소로 향하는 새 결제에 서명하고 전송할 수 있었다. 보안 권고문은 사용자 신고 두 건을 근거로 실제 환경에서 이러한 공격이 발생하고 있다고 밝혔다. 여기에는 10월 18일 확인된 피해 사례 한 건과 자금 손실이 없었던 10월 11일 신고 한 건이 포함됐다. 패치는 미확인 거래를 로컬 거래 내역에 추가하기 전에 지갑 소유 입력의 서명을 검증한다. 이를 통해 서버가 해당 주소와 관련된 서명되지 않은 거래를 삽입하지 못하도록 한다. 입력이 모두 외부에 속하는 수신 거래는 여전히 검증되지 않으며, 개발자는 이 허점을 해결하려면 추가 작업이 필요하다고 밝혔다. 직접 운영하는 서버에만 연결하는 사용자는 영향을 받지 않는다. 업데이트할 수 없는 사용자에게는 서명 전에 거래 주소와 금액을 확인하라는 권고가 제시됐다.