Electrum demande aux utilisateurs de bitcoin de mettre à jour sans attendre après que des serveurs malveillants ont remplacé des paiements par des faux et qu’un utilisateur a perdu des fonds en augmentant les frais

Electrum a demandé à ses utilisateurs de mettre à jour immédiatement après avoir constaté que des attaquants utilisaient des serveurs malveillants pour voler des bitcoins. Dans un avis de sécurité publié samedi, les développeurs du portefeuille ont décrit une faille de gravité élevée touchant toutes les versions antérieures à la 4.8.3. Electrum est un portefeuille léger qui s’appuie sur des serveurs externes pour l’historique des transactions et leur diffusion. Un serveur malveillant pouvait écarter une transaction que l’utilisateur venait d’envoyer, fournir au portefeuille une transaction concurrente et invalide payant l’adresse d’un attaquant, et le portefeuille l’affichait comme un paiement en attente normal sans en vérifier les signatures.

Le piège se refermait lorsque l’utilisateur tentait d’accélérer le paiement. La fausse transaction observée en conditions réelles affichait des frais nuls, selon l’avis ; Bitcoin.com News a indiqué que cela visait apparemment à inciter l’utilisateur à augmenter les frais. Relever les frais avec replace-by-fee amenait le portefeuille à signer la version de l’attaquant avec des frais plus élevés. Les adresses des attaquants reprenaient les quatre derniers caractères de la destination prévue, selon l’avis et Bitcoin.com News, de sorte qu’un coup d’œil rapide ne permettait pas de repérer la substitution.

Un utilisateur a signalé en privé la substitution le 11 octobre, et un autre a fait état le 18 octobre d’une perte de fonds après une augmentation des frais, selon l’avis. Le correctif, qui oblige le portefeuille à vérifier les signatures de ses propres entrées avant d’ajouter des transactions non confirmées à son historique, a été étiqueté le 23 octobre et publié samedi avec la divulgation publique. Aucun montant total des pertes n’a été communiqué. Le site d’Electrum avertit les utilisateurs de ne télécharger le logiciel que depuis electrum.org et d’en vérifier les signatures.