Ipinakalabas ng Bitcoin wallet na Electrum ang bersyon 4.8.3 noong Oktubre 24 upang ayusin ang isang mataas na serbisyong vulnerability na nagpapahintulot sa mga masasamang server na i-redirect ang mga Bitcoin payment patungo sa mga mang-aabuso. Ang vulnerability ay nakakaapekto sa lahat ng bersyon bago ang 4.8.3. Ang pag-aayos ay tinagian sa code repository noong Oktubre 23, at naging available ang mga executable release ang susunod na araw.
Ang pag-atake ay nagpapakita ng pagkakasunod ng Electrum sa mga server habang inaangkop ang mga hindi pa kumpirmadong transaksyon. Maaaring pigilan ng isang napapalitan na server ang tunay na pagbabayad ng user at palitan ito ng isang magkakaugnay na transaksyon na naglalaman ng address ng destinasyon ng attacker at zero fee. Noong una, ipinakikita ng Electrum ang napalitang transaksyon bilang legitimo sa kasaysayan ng wallet nang hindi sinusuri ang mga signature. Ang zero fee ay nagiging dahilan kung bakit tila naka-stall ang pagbabayad.
Isang gumagamit na tumataas ang bayad sa pagbabayad ay nagpapakita at nagpapalabas ng isang bagong, wastong transaksyon na nagpapadala ng pera sa attacker. Ang orihinal na pagbabayad ay hindi nakakarating sa network, kaya ang transaksyon na may mas mataas na bayad ang unang pagbabayad na talagang nalabas. Si SomberNight, developer ng Electrum, na nagpahayag ng abiso, ay sinabi na ang mga attacker ay maaaring lumikha ng isang address ng destinasyon kung saan ang huling apat na karakter ay tumutugma sa address ng inaasahang tagatanggap. Ang isang gumagamit na tinitingnan lamang ang mga karakter na iyon ay makakakita ng isang tila tugma.
Sinasabi ng abiso na may ilang server ang aktibong nagpapatakbo ng pag-atake at binanggit ang dalawang ulat mula sa mga user. Isang user na kilala bilang dannydeezy ang unang nag-ulat ng kakaibang aktibidad ng server noong Oktubre 11. Ang manipuladong transaksyon ay nanatili sa lokal na server, at wala namang pera ang nawala. Ang ikalawang user, Raju-K12, ay nag-ulat ng pagkawala ng pera noong Oktubre 18 pagkatapos pataasin ang bayad sa manipuladong transaksyon.
Ang Version 4.8.3 ay tiniyak ang cryptographic signatures sa mga input na may kinalaman sa wallet bago isaulo ang hindi pa kumpirmadong transaksyon sa lokal na kasaysayan. Ang patch ay nagbabawal sa isang server na magdagdag ng isang pekeng transaksyon na may kinalaman sa sariling address ng user nang walang wastong signature, na hindi kayang gawin ng mga attacker. Gayunpaman, tinatanggap pa rin ng Electrum ang mga dumadating na transaksyon nang walang pag-check ng signature kung wala man sa mga input ang nakaugnay sa tumatanggap na wallet. Kilala ni SomberNight ang natitirang puwang sa abiso at sinabi na ang paglutas ng puwang ay maghingi ng higit pang paggawa.
Dating nang 2018, kinaharap ng Electrum ang isang kampanya na gumamit ng masamang server upang ipakita ang mga fraudulent na pag-update na mensahe. Sa pamamagitan ng 2020, nasakop na ng kampanya ang halos $25 milyon mula sa mga user ng Electrum. Pinapayagan ng Electrum ang sinumang mag-operate ng server, na nagiging sanhi ng ganitong uri ng pag-atake.
Ang mga gumagamit na nagkonekta lamay sa isang server na pinapatakbo nila mismo ay hindi naaapektuhan. Ang mga gumagamit na hindi makapag-update nang agad ay dapat tsekin ang mga address ng destinasyon at amount nang manu-manu bago mag-sign ng anumang transaksyon. Ang Electrum 4.8.3 ay available sa website ng proyekto at GitHub.