Ang Electrum ay isang Bitcoin wallet na kumukonekta sa mga panlabas na server upang makakuha ng kasaysayan ng transaksyon. Ang Electrum ay tumitingin sa mga transaksyon gamit ang Simple Payment Verification. Noong ipinapakita ng wallet ang mga naghihintay na transaksyon, tinitiyak nito ang function na ito sa pangunahing server nito.
Ang mga mapanlinlang ay nagsisipagkuha ng mga transaksyon sa pamamagitan ng masamang server bago makarating ang impormasyon sa network ng Bitcoin. Sa pagpapalabas ng legitimo na transaksyon, ang mga kriminal ay maaaring palitan ito sa pamamagitan ng pagpapalit sa address ng tagatanggap ng kanilang sariling address. Kahit na ang fake na transaksyon ay naglalaman ng hindi wastong mga lagda, ang mga vulnerable na bersyon ng Electrum ay hindi pinagmamasdan ang mga ito bago ipakita ang transaksyon sa history ng wallet.
Nagkakaroon ng panganib kapag sinubukan ng mga gumagamit na palakasin ang bayarin sa transaksyon gamit ang Replace-by-Fee (RBF) feature, na nagpapahintulot na palitan ang hindi pa kumpirmadong bayad ng isa pa na may mas mataas na bayarin. Habang kumpirmado ang pagbabago sa bayarin, maaaring mag-sign ang mga gumagamit ng isang wastong transaksyon para sa isang maliit na tagapag-ugnay.
Napatunayan ng mga developer ang dalawang kaso ng pagkakawala ng mga crypto asset. Noong Oktubre 11, ang may-ari ng wallet na may pseudonym na dannydeezy ay nag-ulat na ang transaksyon na ipinapakita sa Electrum history ay hindi tumutugma sa orihinal na ipinadala na bayad. Noong Oktubre 18, isang anonymous na tao na si Raju-K12 ay nag-notify sa mga developer na nawala ang kanyang pera habang sinusubukang palakasin ang transaction fee. Sa kanyang kaso, ang fraudulent transaction ay may zero fee, na sa palagay ng Electrum team, ginawa upang ang biktima mismo ang mag-initiate ng pagtaas ng fee.
Ang pagkaboboto ay nakaaapekto sa lahat ng bersyon ng Electrum hanggang 4.8.3. Ang mga developer ay hindi nagbigay ng detalye tungkol sa halaga ng mga perang nasakop, bilang ng mga server na ginamit sa pag-atake, o bilang ng mga biktima. Ang team ng cryptocurrency wallet ay naglabas ng patch, na idinagdag sa bersyon 4.8.3 noong Oktubre 23. Ang mga downloadable binary files ay naging available noong Oktubre 24. Ang mga developer ay nagdagdag ng verification ng signature para sa mga hindi pa kumpirmadong transaksyon, at nagpaliwanag na ang pag-update ay hindi gagawing full Bitcoin node ang Electrum. Ibig sabihin, ang mga pumasok na hindi pa kumpirmadong transaksyon ay nananatiling labas sa mga bagong pagsusuri ng signature, habang ang mga kumpirmadong bayarin ay patuloy na lumalagpas sa dating proseso ng pag-verify.
Rekomendado sa mga may-ari ng mga naunang bersyon ng wallet na i-download ang update mula sa opisyal na website ng Electrum. Para sa mga hindi makapag-update nang mabilis, dapat nilang i-check ang mga buong address ng recipient at ang mga halaga bago isignahan ang mga transaksyon, kabilang ang pagbabago ng mga bayarin. Ang mga gumagamit na nagkonekta lamay sa mga tiwalaang server, kabilang ang kanilang sarili, ay hindi biktima ng ganitong pag-atake.
Kahit recent, ang mga eksperto ng Symantec Threat Hunter natuklasan ang bagong bersyon ng infostealer na Aoki (Aokigahara)—isang programa na kumukuha ng session files ng AI assistants, cookie files, at data ng cryptocurrency wallets. Ginagamit ng mga hacker ang nakuha nilang API keys para makakuha ng access sa mga kaugnay na repository at cloud services.