Quote from: Smartprofit on March 08, 2023, 07:55:22 AM

Quote from: witcher_sense on March 08, 2023, 06:05:55 AM

Quote from: Smartprofit on March 06, 2023, 10:54:50 AM

Он пользовался Electrum, то есть полагался на добропорядочность серверов этой системы. И они скорее всего добропорядочны, что не мешает злоумышленнику осуществить атаку путём подмены этих серверов. В этом риск лёгких клиентов, когда ты экономишь пространство на своём девайсе и не скачиваешь весь блокчейн к себе целиком, а обращаешься к каким-то другим серверам.

По-хорошему, даже запуск своих собственных серверов не должен позволять злоумышленнику воровать средства клиентов. И сами по себе сервера Электрума не могут получить доступ к приватным ключам. Максимум что они могут сделать - это деанонимизировать вас, собрать данные об адресах и транзакциях и связать их с публичными IP адресами отправителя. Это может помочь злоумышленникам найти физический адрес и совершить физическое ограбление. Однако, в старых версиях Электрума сервера могли отправлять клиентам рандомные сообщения, состоящие из текста и HTML. Злоумышленники использовали эту фичу для фейковых уведомлений о необходимости обновления клиента. В это уведомление они вставляли ссылки на левый GitHub с вредоносным клиентом. Вы теряли свои средства если устанавливали левый клиент, вводил итуда свои данные и пытались совершать транзакции. И антивирус тут никакой бы не помог.

Да, я помню эту тему, когда массово пользователи electrum теряли свои деньги. Это было, если не ошибаюсь в начале 2018 года.

И помню, что это было во время появления нового обновления.

То есть хакеры быстро нашли дыру в безопасности, и стали ею пользоваться.

И отсюда мораль - не стоит сразу скачивать новое обновление кошелька и сразу начинать им пользоваться. Там могут быть какие-то баги.

Лучше какое-то время понаблюдать, и если всё хорошо и нет никаких сигналов, что обновление небезопасно, то тогда можно и пользоваться начинать.

Быть первопроходцем - это тоже не очень хорошая стратегия. Хорошая технология или обновление должны отлежаться. Пусть лучше другие потестируют их. Есть масса толковых пользователей, которые любят тестировать новинки. А управление финансами требует здорового консерватизма.

На сайте кошелька есть файлы с электронной подписью, типа такого - Electrum-4.3.4.tar.gz.asc. Подпись можно проверить при помощи gpg, под виндой можно использовать программу kleopatra. Это даст гарантию, что файл создан разработчиком и не подменён на одном из этапов загрузки. Такие случаи были не только с электрум, и если бы пользователи делали проверку подписи, то многие смогли бы избежать потери своих средств. Всем рекомендую один раз разобраться как это работает и проверять подпись перед каждой установкой. Сайт могут взломать и выложить вредоносный код, но подделать электронную подпись невозможно.