Der letzte „Bitcoin-Hack“ und die Lösung

[Axiom0815]

Hallo.

 

Ein Hacker Names Alister Maclin hat kürzlich das Bitcoinnetz mit massiven DOUBLE Transaktionen überschwemmt.

Anders als der  bekannte „Stresstest“, aber nicht mit immer neuen Transaktionen und damit verbundenen Kosten.

 

Wie ging das genau?

Im Bitcoin-Netzwerk werden alle offenen Transaktionen von Full Node geprüft und an den anderen Knoten weiter geleitet. Der „Hack“ bestand jetzt darin, die neuen Transaktionen zu kopieren, dann die ID zu ändern (manipulieren) und in das Netz weiter zu leiten.
Damit war es möglich ohne Kosten die offenen Transaktionen massiv zu erhöhen, das Netz zu spammen.

 

https://ip.bitcointalk.org/?u=http%3A%2F%2Fmotherboard-images.vice.com%2Fcontent-images%2Fcontentimage%2Fno-id%2F1444232678283885.png&t=557&c=PA4CGnhIRP2Y-w

 

Was ist die Lösung?

Die komplette Transaktion muss vor dem Senden noch einmal  zusätzlich (wie eine Klammer um alles) signiert werden. Somit ist dann auch die ID nicht mehr zu fälschen. Diese Hack würde beim nächsten Mal blockiert.

 

Meine Wertung:

Es ist immer gut, auf Sicherheitslücken oder Designfehler hinzuweisen, bevor es wirklich schlimm wird. Wie man das macht, ist einen andere Sache.

 

So, die Lösung ist da. Aber ich kann kein Englisch.

Die Ente ist auch nicht mehr im Forum, die das gleich an den Entwickler weiter leiten kann.

Also stelle ich das mal hier ins Forum, dann wird es schon seinen Weg finden.

 

Axiom  

Bearbeitet 9. Oktober 2015 von Axiom0815

[bitcoin-live.de]

Sollte man aus dem Grund vlt. momentan lieber keine BTC verschicken? 

[Axiom0815]

Zur Zeit ist es kein Problem.

https://blockchain.info/de/unconfirmed-Transactions

 

Der Hacker Alister Maclin hat es nur mal dies vorgeführt. Was natürlich heißt, dass es jetzt jeder machen kann.

[Christoph Bergmann]

Vielen Dank für die Erklärung Axiom.

 

Ich möchte noch hinzufügen, dass sich das Problem zumindest für professionelle Betreiber in Grenzen hält bzw. gehalten hat. Seit der Malleable-Schwemme um MtGox Anfang 2014 hat zumindest bitcoin.de ein Script implementiert, das die Datenbanken vor diesen "Blendgranaten" (O-Ton Entwickler) schützt.