ASIAWORLDVIEW – Celah keamanan yang ditemukan pada sejumlah dompet Bitcoin memungkinkan server yang berperilaku jahat memanipulasi proses percepatan transaksi (transaction acceleration) sehingga pengguna tanpa sadar menandatangani transaksi baru yang justru mengirimkan dana kepada penyerang. Dalam skenario ini, pengguna mengira mereka hanya sedang meningkatkan prioritas transaksi agar lebih cepat dikonfirmasi di jaringan, namun server yang telah dimodifikasi dapat menyajikan informasi menyesatkan dan meminta tanda tangan digital pada transaksi yang berbeda dari yang dipahami pengguna.
Para pengembang telah mengonfirmasi setidaknya satu kasus pencurian yang berhasil terjadi akibat kerentanan tersebut, menunjukkan bahwa ancaman ini bukan sekadar teori melainkan telah dimanfaatkan dalam praktik. Insiden ini kembali menyoroti pentingnya verifikasi detail transaksi sebelum melakukan penandatanganan, penggunaan dompet yang terpercaya, serta pembaruan perangkat lunak secara berkala guna mengurangi risiko serangan yang memanfaatkan kelemahan pada infrastruktur atau layanan pihak ketiga dalam ekosistem kripto.
Electrum, salah satu dompet perangkat lunak Bitcoin tertua, mengungkapkan kerentanan tersebut pada hari Sabtu , dengan mengatakan bahwa beberapa server sudah mengeksploitasinya. Para pengembang menerima dua laporan pada bulan Oktober, termasuk satu dari pengguna yang kehilangan dana setelah menyetujui apa yang tampaknya merupakan peningkatan biaya transaksi rutin.
Serangan tersebut mengeksploitasi cara Electrum menangani pembayaran bitcoin yang belum dikonfirmasi oleh jaringan.
Tidak seperti node Bitcoin penuh, Electrum bergantung pada server eksternal untuk mengambil riwayat transaksi dan menyiarkan pembayaran. Sebelum perbaikan, dompet tersebut mempercayai server-server tersebut untuk melaporkan transaksi yang tertunda tanpa memverifikasi tanda tangan mereka.
Baca Juga: Industri Kripto Usulkan Tarif PPh Transaksi Turun Jadi 0,1%
Penyerang yang mengendalikan salah satu server tersebut dapat mencegat pembayaran sebelum mencapai jaringan Bitcoin dan menggantinya dalam riwayat dompet dengan transaksi palsu. Penggantian ini kemudian menggunakan koin pengguna untuk dikirim ke alamat yang dikendalikan penyerang, dengan menggunakan tanda tangan yang tidak valid yang gagal dideteksi oleh Electrum.
Namun, dompet digital tersebut kemudian menunjukkan pembayaran palsu sebagai tertunda, dan jebakan pun terjadi ketika pengguna mencoba mempercepat prosesnya.
Bitcoin memungkinkan transaksi yang belum dikonfirmasi untuk diganti dengan versi yang memiliki biaya lebih tinggi, fitur yang disebut Replace-by-Fee. Jika pengguna memilih opsi tersebut, Electrum dapat mengambil transaksi curang tersebut dan menandatangani pengganti yang valid, lalu mengirimkan koin tersebut kepada penyerang.
Dalam satu kasus yang dilaporkan, transaksi jahat tersebut tidak mengenakan biaya sama sekali, sehingga tampak seperti transaksi yang macet. Penyerang juga membuat alamat penerima yang empat karakter terakhirnya cocok dengan tujuan yang sah, sehingga penggantian tersebut lebih sulit dideteksi selama pemeriksaan cepat.
Laporan pertama, yang diajukan pada 11 Oktober, melibatkan dompet multisignature dua dari tiga yang menggunakan dua perangkat keras Trezor. Pengguna telah memeriksa pembayaran yang sah di kedua perangkat tersebut, tetapi kemudian menyadari adanya transaksi keluar yang berbeda dalam riwayat dompet (pengguna tersebut tidak melaporkan kehilangan dana).
Seorang pengguna kedua melaporkan pada 18 Oktober bahwa mereka telah menaikkan biaya pada transaksi pengganti dan kehilangan uang. Pengembang belum mengungkapkan jumlah uang yang dicuri atau mengidentifikasi server jahat tersebut.
Sebagai tanggapan, Electrum merilis versi 4.8.3 pada 24 Oktober, menambahkan pemeriksaan tanda tangan untuk transaksi yang belum dikonfirmasi yang menggunakan koin dari dompet pengguna sendiri. Namun, versi sebelumnya tetap rentan terhadap serangan yang dilaporkan ketika terhubung ke server berbahaya.
Para pengembang merekomendasikan untuk memperbarui dan memeriksa alamat penerima serta jumlah pembayaran sebelum menandatangani pembayaran. Pengguna yang hanya terhubung ke server yang mereka percayai, termasuk server mereka sendiri, tidak terkena serangan ini.
