비트코인 앱은 엄청난 수수료 유출 위험이 있고 라이브러리 버그 2개가 비난을 받고 있습니다

본문

두 가지 비트코인 ​​라이브러리 결함으로 인해 막대한 채굴 수수료가 숨겨지고 유효한 거래가 안전 확인을 우회할 수 있습니다. 비트코인 애플리케이션을 구축하는 데 사용되는 라이브러리인 Bitcoinjs-lib는 소프트웨어가 브로드캐스트 및 승인될 경우 유효한 거래가 지불하게 될 채굴 수수료를 과소평가하게 만들 수 있는 두 가지 버그를 패치했습니다. 26개의 보안 공개는 해당 릴리스 라인에 대한 버전 5.2.2, 6.1.9 및 7.0.4의 수정 사항을 식별합니다. 영향을 받는 형식은 부분적으로 서명된 비트코인 ​​거래(PSBT)이며, BIP 174는 이를 클라이언트 간에 거래 정보와 서명을 전달하는 방법으로 정의합니다. 서명, 서명 결합, 입력 완료 및 트랜잭션 추출은 하나의 애플리케이션이 여러 기능을 수행하는 경우에도 별도의 기능입니다.

위험은 이러한 패키지를 가져오고 지출되는 출력을 독립적으로 확인하지 않고 bitcoinjs-lib의 수수료 계산 또는 과도한 수수료 보호를 신뢰하는 애플리케이션과 관련됩니다. 비트코인 거래 수수료는 입력 값과 출력 값의 차이이므로 입력 값을 과소평가하면 계산된 수수료가 더 작아 보입니다. 첫 번째 결함에서는 서명과 수수료 계산이 동일한 입력에 대해 서로 다른 값을 사용할 수 있습니다. 권고에는 실제 수수료가 900,000,000 사토시였지만 라이브러리는 200 사토시를 보고한 bitcoinjs-lib 7.0.1의 데모에 대해 설명합니다. 서명이 확인되었으며 기본 수수료 경고 없이 추출이 반환되었습니다. 그의 전문 지식은 주로 브라질 블록체인에 중점을 두고 있습니다. PSBT를 가져오는 애플리케이션은 취약한 도서관의 회계에 의존할 경우 채굴 수수료를 잘못 계산하고 과도한 수수료 경고를 놓칠 수 있습니다.

PSBT를 가져오는 애플리케이션은 취약한 라이브러리의 회계에 의존하는 경우 채굴 수수료를 잘못 계산하고 과도한 수수료 경고를 놓칠 수 있습니다.