बिटकॉइन वॉलेट Electrum ने 24 अक्टूबर को एक उच्च-गंभीर दुर्बलता को ठीक करने के लिए संस्करण 4.8.3 जारी किया, जिससे दुर्भावनापूर्ण सर्वर बिटकॉइन भुगतानों को हमलावरों की ओर रीडायरेक्ट कर सकते थे। यह दुर्बलता 4.8.3 से पहले के हर संस्करण को प्रभावित करती है। इस ठीक किए गए कोड को 23 अक्टूबर को कोड रिपॉजिटरी में टैग किया गया था, और निष्पादनीय प्रकाशन अगले दिन उपलब्ध हुए।
हमला अपुष्ट लेनदेन के संचालन के दौरान Electrum के सर्वरों पर भरोसे का दुरुपयोग करता है। एक दुर्भावनापूर्ण सर्वर एक उपयोगकर्ता के वास्तविक भुगतान को रोक सकता है और एक विरोधी लेनदेन को प्रतिस्थापित कर सकता है, जिसमें हमलावर का गंतव्य पता और शून्य शुल्क होता है। पहले, Electrum ने हस्ताक्षर की जांच किए बिना वॉलेट इतिहास में प्रतिस्थापित लेनदेन को वैध के रूप में प्रदर्शित किया। शून्य शुल्क के कारण भुगतान ठहरा हुआ प्रतीत होता है।
एक उपयोगकर्ता जो प्रतीत होने वाले भुगतान की शुल्क बढ़ाता है, एक नया, मान्य लेनदेन बनाता है और उसे प्रसारित करता है जो धन को हमलावर को भेजता है। मूल भुगतान कभी नेटवर्क तक नहीं पहुँचता, जिससे शुल्क बढ़ाए गए लेनदेन को पहला वास्तविक प्रसारित भुगतान बना दिया जाता है। इस सलाह को प्रकाशित करने वाले Electrum डेवलपर SomberNight ने कहा कि हमलावर एक गंतव्य पता बना सकते हैं जिसके अंतिम चार अक्षर इच्छित प्राप्तकर्ता के पते के साथ मेल खाते हैं। इसलिए, केवल उन अक्षरों की जाँच करने वाला उपयोगकर्ता एक प्रतीत होने वाली मेल को देखेगा।
सलाह में कहा गया है कि कुछ सर्वर सक्रिय रूप से हमला कर रहे हैं और दो उपयोगकर्ता रिपोर्ट्स का उल्लेख किया गया है। एक उपयोगकर्ता, जिसे dannydeezy के रूप में पहचाना गया, ने 11 अक्टूबर को संदिग्ध सर्वर गतिविधि की रिपोर्ट की। यह अनुमानित लेनदेन स्थानीय सर्वर पर ही रहा, और कोई धन खोया नहीं गया। एक दूसरे उपयोगकर्ता, Raju-K12, ने 18 अक्टूबर को एक अनुमानित लेनदेन पर शुल्क बढ़ाने के बाद धन खोने की रिपोर्ट की।
संस्करण 4.8.3 अपने वॉलेट से संबंधित इनपुट्स पर क्रिप्टोग्राफिक साइनेचर की जांच करता है, जिससे स्थानीय इतिहास में अनपुष्ट लेनदेन को रिकॉर्ड करने से पहले सुरक्षा सुनिश्चित होती है। यह पैच सर्वर को उपयोगकर्ता के अपने पतों के साथ एक झूठा लेनदेन बिना वैध साइनेचर के डालने से रोकता है, जिसे हमलावर नहीं बना सकते। हालाँकि, Electrum अभी भी आगमन लेनदेन को स्वीकार करता है बिना साइनेचर की जांच किए, जब तक कि कोई भी इनपुट प्राप्तकर्ता वॉलेट से संबंधित न हो। SomberNight ने सलाह में शेष अंतर को मान्यता दी और कहा कि इस अंतर को दूर करने के लिए अधिक कार्य की आवश्यकता होगी।
इलेक्ट्रम पहले एक अभियान का शिकार बना था जो 2018 में शुरू हुआ था और जिसमें दुर्भावनापूर्ण सर्वरों का उपयोग करके धोखेबाज़ अपडेट सूचनाएँ प्रदर्शित की जाती थीं। 2020 तक, इस अभियान ने इलेक्ट्रम उपयोगकर्ताओं से अनुमानित $25 मिलियन चुरा लिए थे। इलेक्ट्रम किसी भी व्यक्ति को सर्वर संचालित करने की अनुमति देता है, जिससे इस प्रकार का हमला संभव होता है।
केवल अपने द्वारा संचालित सर्वर से कनेक्ट करने वाले उपयोगकर्ता प्रभावित नहीं होते हैं। जो उपयोगकर्ता तुरंत अपडेट नहीं कर सकते, उन्हें किसी भी लेनदेन पर हस्ताक्षर करने से पहले गंतव्य पते और रकम की जांच मैनुअल रूप से करनी चाहिए। Electrum 4.8.3 प्रोजेक्ट की वेबसाइट और GitHub के माध्यम से उपलब्ध है।