บั๊กในไลบรารีสองตัวทำให้แอป Bitcoin เสี่ยงจ่ายค่าธรรมเนียมนักขุดสูงเกินไป

แอปพลิเคชัน Bitcoin ที่พึ่งพาไลบรารีที่มีข้อบกพร่องสองตัวอาจประเมินค่าธรรมเนียมนักขุดที่ต้องจ่ายผิดพลาด ตามรายงานของ CryptoSlate ปัญหานี้มุ่งเน้นไปที่ซอฟต์แวร์ที่รับธุรกรรม bitcoin ที่ลงนามบางส่วน (PSBT) จากแหล่งภายนอก

ในการตั้งค่าที่ได้รับผลกระทบ การบัญชีค่าธรรมเนียมของแอปพลิเคชันให้ตัวเลขที่ไม่ถูกต้อง และกลไกป้องกันที่มีอยู่ซึ่งมีไว้เพื่อแจ้งเตือนค่าธรรมเนียมที่สูงผิดปกติก็ไม่ทำงาน ผลในทางปฏิบัติคือผู้ใช้หรือบริการอาจอนุมัติธุรกรรมที่จ่ายค่าธรรมเนียมมากกว่าที่ตั้งใจไว้มากโดยไม่มีคำเตือนใด ๆ ปรากฏขึ้น

จุดที่ปัญหาอยู่

PSBT เป็นรูปแบบมาตรฐานสำหรับส่งต่อธุรกรรมระหว่างกระเป๋าเงิน อุปกรณ์ลงนาม และผู้ประสานงาน ก่อนที่ธุรกรรมจะถูกทำให้เสร็จสมบูรณ์และกระจายออกไป เนื่องจากซอฟต์แวร์ที่นำเข้ามักคำนวณส่วนต่างระหว่างอินพุตและเอาต์พุตเอง ข้อผิดพลาดในการบัญชีนั้นจึงส่งผลโดยตรงต่อความผิดพลาดของค่าธรรมเนียม

• ไลบรารีสองตัวที่แยกจากกันถูกระบุว่าเป็นสาเหตุของพฤติกรรมที่ผิดพลาด
• การนำเข้า PSBT อาจนำไปสู่การคำนวณค่าธรรมเนียมที่ไม่ถูกต้อง
• คำเตือนค่าธรรมเนียมสูงเกินไปอาจถูกข้ามไปได้เป็นผล
• รายละเอียดเกี่ยวกับไลบรารี เวอร์ชัน และแพตช์ที่ได้รับผลกระทบไม่ได้รับการรวมอยู่ในสรุปเริ่มต้นของรายงาน

ในเนื้อหาที่ตรวจสอบ รายงานไม่ได้ระบุปริมาณความสูญเสียหรือระบุว่าโครงการใดพึ่งพาโค้ดที่มีช่องโหว่ ทีมที่จัดการ PSBT — ผู้ให้บริการกระเป๋าเงิน ผู้ประสานงาน และบริการลงนาม — จำเป็นต้องตรวจสอบ dependency ของตนเองเพื่อประเมินความเสี่ยง

บั๊กเกี่ยวกับการจัดการค่าธรรมเนียมมีผลกระทบใน Bitcoin เพราะธุรกรรมไม่สามารถย้อนกลับได้เมื่อยืนยันแล้ว การเปิดเผยด้านความปลอดภัยลักษณะนี้มักกระตุ้นให้ผู้ดูแลออกแพตช์ และโครงการปลายน้ำตรึงหรืออัปเกรดเวอร์ชัน แม้ว่าจะยังไม่มีการยืนยันกำหนดเวลาในการแก้ไขในที่นี้