Обнаружена уязвимость двойного расходования биткоинов в крупных криптокошельках

Исследователь блокчейна из стартапа по созданию криптовалютных кошельков ZenGo, базирующегося в Тель-Авиве, обнаружил обнаружил уязвимость в крупных кошельках цифровых валют, которая потенциально может привести к двойному расходованию биткоинов двойному расходованию. Большинство этих провайдеров кошельков были проинформированы и также приняли меры для предотвращения подобных случаев.

Злоумышленники используют функцию RBF для двойного расходования биткоинов

Так называемая «баг BigSpender» работает за счет эксплуатации функции RBF (replace-by-fee) биткоина. Используя эту ошибку, злоумышленники могут вызвать двойное расходование биткоинов за счет средств жертв и в конечном итоге лишить их возможности снова использовать затронутые кошельки. «Это можно рассматривать как атаку высокой степени серьезности», — сказал Ориэль Охайон, генеральный директор ZenGo.

По сути, функция RBF была внедрена как способ для пользователей биткоина обойти медленный период подтверждения, позволяя им платить более высокую комиссию за транзакцию. Несмотря на то, что она выполняет свою задачу по снижению долгого времени подтверждения, все же существовали опасения, что она может вызвать проблемы, поскольку кошельки биткоина не полностью поддерживают ее.

Точнее, атака двойного расходования биткоина использует то, как кошелек цифровых валют обрабатывает транзакции RBF с биткоинами, согласно разработчику биткоина Питеру Тодду. Злоумышленники намеренно размещают транзакцию биткоина с низкой комиссией, чтобы избежать быстрого подтверждения, а затем отменяют ожидающую транзакцию.

Криптокошельки обновляют свою систему против «BigSpender»

На уязвимых криптокошельках транзакция будет зачислена жертве, в то время как злоумышленник уже отменил ее. Сообщается, что три из девяти основных кошельков оказались уязвимыми к этой атаке, что может привести к двойному расходованию биткоинов. В число этих кошельков входят Breadwallet (BRD), Edge и Ledger Live. Охайон говорит:

Мы не тестировали все кошельки, но может быть, если три крупнейших затронуты, то и другие тоже.

Согласно отчету, BRD и Ledger обновили новый код, чтобы избежать атаки двойного расходования, в то время как кошелек Edge проходит «значительную рефакторинг» для предотвращения такой атаки.