Dua bug pustaka menempatkan aplikasi Bitcoin pada risiko pembayaran biaya berlebihan
Sebuah laporan menyebut aplikasi yang mengimpor PSBT dapat salah menghitung biaya penambang dan melewatkan peringatan biaya berlebihan saat dibangun di atas dua pustaka yang rentan.
Aplikasi Bitcoin yang bergantung pada dua pustaka bermasalah dapat salah menilai berapa banyak biaya penambang yang mereka bayarkan, menurut laporan CryptoSlate. Masalah ini berpusat pada perangkat lunak yang menerima transaksi bitcoin yang ditandatangani sebagian (PSBT) dari sumber eksternal.
Dalam konfigurasi yang terdampak, penghitungan biaya aplikasi menghasilkan angka yang salah, dan pengaman yang ada untuk menandai biaya yang luar biasa besar gagal terpicu. Hasil praktisnya adalah pengguna atau layanan dapat menyetujui transaksi yang membayar biaya jauh lebih tinggi dari yang dimaksudkan tanpa muncul peringatan apa pun.
Letak masalahnya
PSBT adalah format standar untuk meneruskan transaksi antar dompet, perangkat penandatangan, dan koordinator sebelum transaksi difinalisasi dan disiarkan. Karena perangkat lunak pengimpor sering menghitung sendiri selisih antara input dan output, kesalahan dalam penghitungan tersebut langsung berujung pada kesalahan biaya.
- Dua bug pustaka yang terpisah disalahkan atas perilaku keliru tersebut
- Mengimpor PSBT dapat menyebabkan perhitungan biaya yang salah
- Peringatan biaya berlebihan dapat terlewati sebagai akibatnya
- Rincian tentang pustaka, versi, dan tambalan yang terdampak tidak disertakan dalam ringkasan awal laporan
Dalam materi yang ditinjau, laporan tersebut tidak mengukur kerugian atau mengidentifikasi proyek mana yang bergantung pada kode rentan. Tim yang menangani PSBT — penyedia dompet, koordinator, dan layanan penandatanganan — perlu mengaudit dependensi mereka sendiri untuk menetapkan eksposur.
Bug penanganan biaya berdampak di Bitcoin karena transaksi tidak dapat dibalik setelah dikonfirmasi. Pengungkapan keamanan seperti ini biasanya mendorong pengelola untuk merilis tambalan dan proyek hilir untuk menyematkan atau meningkatkan versi, meskipun belum ada tenggat waktu perbaikan yang dikonfirmasi di sini.