Electrum fordert Bitcoin-Nutzer zum sofortigen Update auf, nachdem bösartige Server Zahlungen durch Fälschungen ersetzten und ein Nutzer durch eine Gebührenerhöhung Geld verlor

Electrum hat seine Nutzer aufgefordert, sofort zu aktualisieren, nachdem festgestellt wurde, dass Angreifer bösartige Server nutzten, um Bitcoin zu stehlen. In einer am Samstag veröffentlichten Sicherheitswarnung beschrieben die Entwickler der Wallet eine Schwachstelle mit hohem Schweregrad in allen Versionen vor 4.8.3. Electrum ist eine Light-Wallet, die für Transaktionsverläufe und das Senden von Transaktionen auf externe Server angewiesen ist. Ein bösartiger Server konnte eine gerade vom Nutzer gesendete Transaktion verwerfen, der Wallet eine widersprüchliche, ungültige Transaktion unterschieben, die an die Adresse eines Angreifers zahlte, und die Wallet zeigte diese als normale ausstehende Zahlung an, ohne ihre Signaturen zu prüfen.

Die Falle schnappte zu, wenn der Nutzer versuchte, die Zahlung zu beschleunigen. Die in der Praxis beobachtete gefälschte Transaktion enthielt eine Gebühr von null, hieß es in der Warnung; Bitcoin.com News zufolge sollte dies offenbar zu einer Gebührenerhöhung verleiten. Eine Erhöhung der Gebühr per Replace-by-Fee brachte die Wallet dazu, die Version des Angreifers mit höherer Gebühr zu signieren. Die Adressen der Angreifer stimmten in den letzten vier Zeichen mit dem beabsichtigten Ziel überein, so die Warnung und Bitcoin.com News, sodass ein flüchtiger Blick den Austausch nicht bemerkte.

Ein Nutzer meldete den Austausch am 11. Oktober vertraulich, ein weiterer meldete am 18. Oktober einen Geldverlust nach einer Gebührenerhöhung, so die Warnung. Die Korrektur, durch die die Wallet die Signaturen ihrer eigenen Inputs prüft, bevor sie unbestätigte Transaktionen in ihren Verlauf aufnimmt, wurde am 23. Oktober getaggt und mit der öffentlichen Offenlegung am Samstag veröffentlicht. Eine Gesamtschadenssumme wurde nicht genannt. Die Website von Electrum warnt Nutzer, die Software nur von electrum.org herunterzuladen und die Signaturen zu prüfen.