В гаманці Electrum виправлена критична уразливість. дозволяла сайтів вкрасти биткоины

У «легкому» гаманці для биткоина Electrum ввечері 6 січня була виявлена критична уразливість, яка дозволяла отримати доступ до гаманця через Javascript. Таким чином, шкідливі сайти могли вкрасти биткоины користувачів при відвідуванні цих сайтів, якщо гаманець Electrum в цей час був запущений.

Хакер або шкідливий сайт може підключитися до гаманця через включений за замовчуванням інтерфейс JSON-RPC і передати йому довільні консольні команди, в тому числі на експорт ключів.

Гаманці без пароля піддаються найбільшій небезпеці. Якщо гаманець зашифрований за допомогою досить складного пароля, то він знаходиться у відносній безпеці, якщо його власник не здійснює транзакцій або інших дій, які на короткий час залишають гаманець незахищеним.

Уразливість відноситься також до копій Electrum, наприклад, Electron Cash.

Уразливість була частково виправлена у версії 3.0.4, яка викладена на сайті Electrum 7 січня, а в ніч на 8 січня опублікована версія 3.05, яка закриває уразливість більш надійно, відключаючи інтерфейс JSON-RPC при запущеному графічному інтерфейсі гаманця, а також захищаючи його пароль за замовчуванням.