Electrum est un portefeuille Bitcoin qui se connecte à des serveurs externes pour obtenir l'historique des transactions. Electrum vérifie les transactions à l'aide de la vérification simplifiée de paiement (Simple Payment Verification). Le portefeuille, lors de l'affichage des transactions en attente, faisait confiance à cette fonction à son serveur principal.
Les attaquants interceptaient les transactions via des serveurs malveillants avant même qu'elles n'atteignent le réseau Bitcoin. En désactivant l'affichage de la transaction légitime, les criminels pouvaient la remplacer en insérant leur propre adresse à la place de l'adresse du destinataire. Bien que la transaction falsifiée contienne des signatures invalides, les versions vulnérables d'Electrum ne les vérifiaient pas avant d'afficher la transaction dans l'historique du portefeuille.
Le risque survenait lorsque les utilisateurs tentaient d'augmenter les frais de transaction via la fonction Replace-by-Fee (RBF), qui permet de remplacer un paiement non confirmé par un autre avec des frais plus élevés. En confirmant la modification des frais, les utilisateurs pouvaient signer une transaction valide au profit d'un attaquant.
Les développeurs ont confirmé deux cas de vol de cryptactifs. Le 11 octobre, le propriétaire du portefeuille sous le pseudonyme dannydeezy a signalé qu'une transaction affichée dans l'historique d'Electrum ne correspondait pas au paiement initialement envoyé. Un autre anonyme, Raju-K12, a informé les développeurs le 18 octobre qu'il avait perdu des fonds lorsqu'il tentait d'augmenter les frais de transaction. Dans son cas, la transaction frauduleuse présentait des frais nuls, ce qui, selon l'équipe d'Electrum, avait été fait pour inciter la victime à initier elle-même l'augmentation des frais.
La vulnérabilité a affecté toutes les versions d'Electrum jusqu'à la 4.8.3. Les développeurs n'ont pas précisé le montant volé, le nombre de serveurs impliqués dans l'attaque ni le nombre de victimes. L'équipe du portefeuille crypto a publié un correctif, l'intégrant à la version 4.8.3 le 23 octobre. Les fichiers binaires téléchargeables sont devenus disponibles le 24 octobre. Les développeurs ont introduit une vérification de la signature pour les transactions non confirmées et ont précisé que cette mise à jour ne transforme pas Electrum en nœud complet Bitcoin. Cela signifie que les transactions non confirmées entrantes restent hors du champ des nouvelles vérifications de signature, tandis que les paiements confirmés continuent de subir les procédures de vérification précédentes.
Owners of older wallet versions are advised to download the update from the official Electrum website. Those unable to update quickly should verify full recipient addresses and amounts before signing transactions, including fee replacements. Users connecting only to trusted servers, including their own, are not vulnerable to this attack.
Récemment, les experts de Symantec Threat Hunter ont détecté une nouvelle version de l’infostealer Aoki (Aokigahara) — un logiciel qui vole les fichiers de session des assistants IA, les cookies et les données de portefeuilles cryptographiques. Les pirates utilisent les clés API volées pour accéder aux dépôts et services cloud associés.