বিটকয়েন ওয়ালেট ইলেকট্রাম ২৪ অক্টোবর একটি হাই-সেভিয়ার ভালনারেবিলিটি ঠিক করে ৪.৮.৩ সংস্করণ প্রকাশ করেছে, যা দুষ্টু সার্ভারকে বিটকয়েন পেমেন্টকে আক্রমণকারীদের দিকে পুনঃনির্দেশ করতে দিত। এই ভালনারেবিলিটি ৪.৮.৩-এর আগের সকল সংস্করণকে প্রভাবিত করে। এই ঠিক করার কোড রিপোজিটরিতে ২৩ অক্টোবর ট্যাগ করা হয়েছিল, এবং এক্সিকিউটেবল রিলিজগুলি পরের দিন উপলব্ধ হয়।
আক্রমণটি অপ্রতিষ্ঠিত লেনদেন পরিচালনা করার সময় Electrum-এর সার্ভারের উপর বিশ্বাসকে দুর্বৃত্তি করে। একটি দুর্বল সার্ভার ব্যবহারকারীর প্রকৃত পেমেন্ট বাতিল করতে পারে এবং একটি বিপরীত লেনদেন প্রতিস্থাপন করতে পারে, যাতে আক্রমণকারীর গন্তব্য ঠিকানা এবং শূন্য ফি থাকে। Electrum আগে সাইনেচার চেক না করেই প্রতিস্থাপিত লেনদেনটিকে ওয়ালেট ইতিহাসে বৈধ হিসাবে প্রদর্শন করত। শূন্য ফির কারণে পেমেন্টটি স্থগিত হয়ে যাওয়ার মতো দেখায়।
একজন ব্যবহারকারী যিনি প্রতিভাত পেমেন্টের ফি বাড়ান, তিনি একটি নতুন, বৈধ ট্রানজেকশন তৈরি ও প্রচার করেন যা অর্থ আক্রমণকারীর দিকে পাঠায়। মূল পেমেন্টটি কখনই নেটওয়ার্কে পৌঁছায় না, যার ফলে ফি-বাড়ানো ট্রানজেকশনটিই প্রথম প্রকাশিত পেমেন্ট হয়ে ওঠে। এই সতর্কবার্তা প্রকাশক ইলেকট্রাম ডেভেলপার সমবারনাইট বলেছেন যে আক্রমণকারীরা এমন একটি গন্তব্য ঠিকানা তৈরি করতে পারেন যার শেষ চারটি অক্ষর উদ্দিষ্ট প্রাপকের ঠিকানার শেষ চারটি অক্ষরের সাথে মিলে যায়। এই চারটি অক্ষরই যাঁরা পরীক্ষা করেন, তাঁদের জন্য এটি একটি প্রতিভাত মিলের মতো দেখাবে।
পরামর্শটি বলে যে কিছু সার্ভার সক্রিয়ভাবে আক্রমণ চালাচ্ছে এবং দুটি ব্যবহারকারীর রিপোর্টের উল্লেখ করে। ড্যানিডিজি নামে একজন ব্যবহারকারী ১১ অক্টোবরে সন্দেহজনক সার্ভার কার্যকলাপের প্রথম রিপোর্ট দেন। সেই হস্তক্ষেপকৃত লেনদেনটি স্থানীয় সার্ভারেই থাকে, এবং কোনো অর্থ হারায়নি। একজন দ্বিতীয় ব্যবহারকারী, রাজু-কে-১২, ১৮ অক্টোবরে একটি হস্তক্ষেপকৃত লেনদেনের ফি বাড়ানোর পর অর্থ হারানোর কথা জানান।
ভার্শন ৪.৮.৩ স্থানীয় ইতিহাসে একটি অননুমোদিত লেনদেন রেকর্ড করার আগে ওয়ালেটের সদস্য ইনপুটগুলির ক্রিপ্টোগ্রাফিক স্বাক্ষর যাচাই করে। এই প্যাচটি একটি সার্ভারকে ব্যবহারকারীর নিজস্ব ঠিকানাগুলি নিয়ে কোনো মিথ্যা লেনদেন বৈধ স্বাক্ষর ছাড়াই যোগ করতে বাধা দেয়, যা আক্রমণকারীরা তৈরি করতে পারে না। তবে, Electrum এখনও আগমনী লেনদেনগুলির স্বাক্ষর যাচাই না করেই গ্রহণ করে, যখন কোনো ইনপুটই গ্রহণকারী ওয়ালেটের সদস্য নয়। SomberNight পরামর্শে বাকি ফাঁকটির প্রতি মনোযোগ দিয়েছেন এবং বলেছেন যে এই ফাঁকটি সমাধানের জন্য আরও কাজের প্রয়োজন।
ইলেকট্রাম আগে ২০১৮ সালে শুরু হওয়া একটি অভিযানের শিকার হয়েছিল, যেখানে ক্ষতিকারক সার্ভার ব্যবহার করে প্রতারণামূলক আপডেট নোটিফিকেশন দেখানো হয়েছিল। ২০২০ সালের মধ্যে এই অভিযানটি ইলেকট্রাম ব্যবহারকারীদের থেকে প্রায় ২৫ মিলিয়ন ডলার চুরি করেছিল। ইলেকট্রাম যেকোনোকে সার্ভার চালানোর অনুমতি দেয়, যার ফলে এই ধরনের আক্রমণ সম্ভব হয়েছিল।
যারা শুধুমাত্র নিজেদের দ্বারা পরিচালিত সার্ভারে কানেক্ট করেন, তাদের কোনো প্রভাব পড়ে না। যারা তাৎক্ষণিকভাবে আপডেট করতে পারছেন না, তাদের যেকোনো লেনদেন সই করার আগে গন্তব্য ঠিকানা এবং পরিমাণ ম্যানুয়ালি চেক করা উচিত। Electrum 4.8.3 প্রকল্পের ওয়েবসাইট এবং GitHub-এ উপলব্ধ।