خطأان في مكتبتين يعرّضان تطبيقات بيتكوين لخطر دفع رسوم مفرطة

وفقاً لتقرير نشرته CryptoSlate، قد تخطئ تطبيقات بيتكوين التي تعتمد على مكتبتين معيبتين في تقدير مبلغ رسوم التعدين الذي تدفعه. وتتمحور المشكلة حول البرمجيات التي تستقبل معاملات بيتكوين الموقّعة جزئياً (PSBTs) من مصادر خارجية.

في الإعداد المتأثر، تُنتج محاسبة الرسوم في التطبيق رقماً غير صحيح، ولا يعمل ضمان قائم مخصص للتنبيه إلى الرسوم الكبيرة غير المعتادة. والنتيجة العملية هي أن المستخدم أو الخدمة قد يوافقان على معاملة تدفع رسوماً تفوق المقصود بكثير دون ظهور أي تحذير.

أين تكمن المشكلة

تُعد PSBTs صيغة معيارية لتمرير المعاملة بين المحافظ وأجهزة التوقيع والمنسّقين قبل إنهائها وبثها. ولأن البرمجيات المستوردة غالباً ما تحسب الفرق بين المدخلات والمخرجات بنفسها، فإن الأخطاء في تلك المحاسبة تتحول مباشرة إلى أخطاء في الرسوم.

• يُلقى اللوم على خطأين منفصلين في مكتبتين وراء هذا السلوك المعيب
• قد يؤدي استيراد PSBT إلى حساب غير صحيح للرسوم
• ونتيجة لذلك، يمكن تجاوز تحذير الرسوم المفرطة
• لم يتضمن الملخص الأولي للتقرير تفاصيل عن المكتبات المتأثرة والإصدارات والتصحيحات

ولا يحدد التقرير، في المواد التي جرى مراجعتها، حجم الخسائر أو المشاريع التي تعتمد على الشيفرة القابلة للاستغلال. وسيحتاج الفرق التي تتعامل مع PSBTs — مزودو المحافظ والمنسّقون وخدمات التوقيع — إلى تدقيق تبعياتهم الخاصة لتحديد مدى تعرضهم.

تكتسب أخطاء التعامل مع الرسوم أهمية في بيتكوين لأن المعاملات لا يمكن التراجع عنها بعد تأكيدها. وعادةً ما تدفع الإفصاحات الأمنية من هذا النوع المشرفين إلى إصدار تصحيحات، والمشاريع التابعة إلى تثبيت الإصدارات أو ترقيتها، مع أنه لم يُؤكَّد هنا أي جدول زمني للمعالجة.