นักวิจัยรายงานข้อบกพร่องใน Cake Wallet ที่อาจทำให้การชำระเงินบิตคอยน์ถูกเบี่ยงเบน

• ตามรายงานของเขา ข้อบกพร่องนี้จะส่งผลกระทบต่อกระเป๋าเงินบิตคอยน์ในเวอร์ชัน 6.4.4 และ 6.5.0
• การโจมตีที่กล่าวอ้างต้องการเซิร์ฟเวอร์ที่เป็นอันตรายหรือคนกลางในเครือข่าย

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อว่า "floppy" ได้เผยแพร่รายงานเกี่ยวกับข้อบกพร่องที่อาจเกิดขึ้นใน Cake Wallet ซึ่งเป็นกระเป๋าเงินมือถือแบบโอเพ่นซอร์ส เมื่อวันที่ 24 ตุลาคม ตามรายงาน ข้อบกพร่องนี้จะทำให้การชำระเงินบิตคอยน์ถูกเบี่ยงเบนไปยังผู้โจมตีเมื่อผู้ใช้เร่งการทำธุรกรรมที่รอดำเนินการ บริษัทยังไม่ได้แสดงความคิดเห็นเกี่ยวกับรายงานนี้

สถานการณ์ที่นักวิจารณ์อธิบายมีความเฉพาะเจาะจง: ผู้ใช้ส่งบิตคอยน์ ธุรกรรมยังไม่ได้รับการยืนยันและตัดสินใจจ่ายมากขึ้นเพื่อให้ดำเนินการได้เร็วขึ้น ฟังก์ชันนี้เรียกว่า RBF (การแทนที่ด้วยค่าธรรมเนียม) สร้างสำเนาของการส่งด้วยค่าธรรมเนียมที่สูงขึ้น ซึ่งแทนที่ต้นฉบับ

ตามรายงาน เพื่อสร้างสำเนานั้น Cake Wallet ไม่ใช้บันทึกของตนเอง แต่ขอข้อมูลจากเซิร์ฟเวอร์ Electrum ซึ่งเป็นอุปกรณ์ระยะไกลที่แอปเชื่อมต่อเพื่อสอบถามเครือข่ายโดยไม่ต้องดาวน์โหลดทั้งหมด นักวิจารณ์กล่าวว่า แอปจะไม่ตรวจสอบว่าข้อมูลที่ได้รับตรงกับสิ่งที่ขอ

พูดง่ายๆ ก็คือ มันเหมือนกับการขอให้บุคคลที่สามทำสำเนาของเช็คเพื่อพิมพ์ใหม่และลงนามโดยไม่ตรวจสอบชื่อของผู้รับ หากเซิร์ฟเวอร์เปลี่ยนที่อยู่ของผู้รับเป็นของตนเอง กระเป๋าเงินจะลงนามเช่นกันและ การชำระเงินจะไปอยู่ในมือของผู้โจมตี

ใครอาจใช้ประโยชน์จากมัน ตามรายงาน

นักวิจารณ์ระบุโปรไฟล์ของผู้โจมตีสองประเภท ประเภทแรกคือ ผู้ที่ดำเนินการเซิร์ฟเวอร์ที่แอปใช้ อาจเป็นโหนดเริ่มต้นของ Cake Wallet โหนดของบุคคลที่สาม หรือโหนดที่ผู้ใช้เลือกเอง

ประเภทที่สองคือคนกลางในเครือข่าย เช่น ใน Wi-Fi สาธารณะ ผู้เขียนกล่าวว่าสิ่งนี้เป็นไปได้เพราะแอป ยอมรับใบรับรองความปลอดภัยใดๆ กล่าวคือ จะไม่ตรวจสอบว่าเซิร์ฟเวอร์เป็นใครที่กล่าวอ้าง ตามรายงานเดียวกัน โหมด Tor ที่รวมอยู่ใน Cake จะทำการตรวจสอบนี้ ดังนั้นเส้นทางนี้จึงถูกปิด

นักวิจารณ์ยังกล่าวอีกว่าผู้ใช้จะไม่มีวิธีสังเกตสิ่งนี้ หากเซิร์ฟเวอร์ตอบสนองด้วยความซื่อสัตย์ในคำถามแรกและเปลี่ยนแปลงคำถามถัดไป หน้าจอการยืนยัน จะแสดงสิ่งเดียวกันกับการเร่งที่ถูกต้องตามกฎหมาย

สิ่งที่ยังต้องยืนยัน

รายงานรวมถึงการทดสอบแนวคิดที่ผู้เขียนกล่าวว่าได้ดำเนินการในเครือข่ายทดสอบท้องถิ่นของบิตคอยน์ ในสภาพแวดล้อมนั้น เขากล่าวว่า การแทนที่ปลอมได้รับการยอมรับและยืนยัน โดยการชำระเงินถูกส่งไปยังที่อยู่ของผู้โจมตี

อย่างไรก็ตาม ผู้เขียนเองชี้แจงว่าเขาไม่ได้ดำเนินการกับแอปที่ติดตั้งในอุปกรณ์ นอกจากนี้ยังไม่มีบันทึกการโจรกรรม แม้ว่าการเผยแพร่ของเขาใน X จะพูดถึง "การโจรกรรมผ่าน RBF" โดยตรง สำหรับตอนนี้ ข้อบกพร่องยังไม่ได้รับการตรวจสอบโดยบุคคลที่สาม หรือได้รับการยอมรับจาก Cake Wallet

ผู้เขียนยังกล่าวว่าเขาใช้เครื่องมือปัญญาประดิษฐ์ในการตรวจสอบข้อบกพร่อง สร้างการทดสอบ และร่างรายงาน ข้อมูลนี้ทำให้ การตรวจสอบอิสระของรายงาน มีความสำคัญมากขึ้นก่อนที่จะถือว่ามีความถูกต้อง

กรณีนี้มีความขัดแย้ง ในกรณีการโจรกรรมล่าสุดที่ส่งผลกระทบต่อกระเป๋าเงินอื่น Cake ได้ยืนยันในฟอรัมอย่างเป็นทางการว่ามีการตรวจสอบโค้ดประเภทนี้มาหลายปีแล้ว นอกจากนี้ยังกล่าวว่า ได้เพิ่มความเข้มงวดในการตรวจสอบเหล่านี้ด้วยโมเดล AI

อีกแง่มุมหนึ่งคือระยะเวลา นักวิจารณ์เผยแพร่รายงานห้าวันหลังจากส่งและกล่าวหาว่าทีมงานยุ่งอยู่กับการตลาดมากกว่า ระยะเวลานี้ สั้นกว่าระยะเวลา 90 วันตามปกติ ในการเปิดเผยช่องโหว่อย่างรับผิดชอบ

มาตรการป้องกันในระหว่างนี้

รายงานเสนอให้แอปตรวจสอบว่าธุรกรรมที่ได้รับตรงกับสิ่งที่ขอและ แสดงบนหน้าจอสิ่งที่จริงๆ จะลงนาม ในขณะที่ Cake Wallet ยังไม่ได้แสดงความคิดเห็น ผู้ใช้ที่ต้องการระมัดระวังสามารถ:

• หลีกเลี่ยงตัวเลือกในการเร่งค่าธรรมเนียม (Bump fee) ในการส่งที่รอดำเนินการ
• เปิดใช้งานโหมด Tor ของแอป
• เชื่อมต่อกับเซิร์ฟเวอร์ Electrum ที่เชื่อถือได้หรือของตนเอง

ไม่ว่าจะจบลงอย่างไร รายงานเตือนว่ากระเป๋าเงินเบาขึ้นอยู่กับเซิร์ฟเวอร์ของบุคคลอื่นในการดูเครือข่าย และ ข้อมูลแต่ละชิ้นที่ไม่ตรวจสอบคือข้อมูลที่เชื่อถือได้ หากข้อบกพร่องได้รับการยืนยัน ความอ่อนแอจะไม่อยู่ที่การเข้ารหัส แต่จะอยู่ที่ความไว้วางใจนั้น

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ