Dompet bitcoin Electrum merilis versi 4.8.3 pada 24 Oktober untuk memperbaiki kerentanan tingkat tinggi yang memungkinkan server jahat mengalihkan pembayaran bitcoin ke penyerang. Kerentanan ini memengaruhi semua versi sebelum 4.8.3. Perbaikan ditandai di repositori kode pada 23 Oktober, dan rilis eksekutif tersedia pada hari berikutnya.
Serangan ini memanfaatkan kepercayaan Electrum terhadap server saat menangani transaksi yang belum dikonfirmasi. Server yang telah diretas dapat menahan pembayaran aktual pengguna dan menggantinya dengan transaksi konflik yang berisi alamat tujuan penyerang dan biaya nol. Sebelumnya, Electrum menampilkan transaksi yang diganti sebagai sah dalam riwayat dompet tanpa memeriksa tanda tangan. Biaya nol membuat pembayaran tampak macet.
Pengguna yang meningkatkan biaya transaksi pembayaran yang tampak menandatangani dan menyebarkan transaksi baru yang valid yang mengirim dana ke penyerang. Pembayaran asli tidak pernah mencapai jaringan, sehingga transaksi dengan biaya yang ditingkatkan menjadi pembayaran pertama yang benar-benar disebarkan. Pengembang Electrum SomberNight, yang menerbitkan peringatan tersebut, mengatakan penyerang dapat menghasilkan alamat tujuan yang empat karakter terakhirnya cocok dengan alamat penerima yang dimaksud. Pengguna yang hanya memeriksa karakter-karakter tersebut akan melihat kecocokan yang tampak.
Peringatan tersebut menyatakan bahwa beberapa server secara aktif melakukan serangan dan mengutip dua laporan pengguna. Seorang pengguna yang diidentifikasi sebagai dannydeezy pertama kali melaporkan aktivitas server mencurigakan pada 11 Oktober. Transaksi yang dimanipulasi tetap berada di server lokal, dan tidak ada dana yang hilang. Seorang pengguna kedua, Raju-K12, melaporkan kehilangan dana pada 18 Oktober setelah meningkatkan biaya pada transaksi yang dimanipulasi.
Versi 4.8.3 memeriksa tanda tangan kriptografis pada input yang dimiliki dompet sebelum mencatat transaksi yang belum dikonfirmasi dalam riwayat lokal. Patch ini mencegah server memasukkan transaksi palsu yang melibatkan alamat milik pengguna tanpa tanda tangan yang valid, yang tidak dapat dipalsukan oleh penyerang. Namun, Electrum masih menerima transaksi masuk tanpa memeriksa tanda tangan ketika tidak ada input yang dimiliki oleh dompet penerima. SomberNight mengakui celah yang tersisa dalam peringatan tersebut dan mengatakan bahwa menyelesaikan celah tersebut memerlukan lebih banyak pekerjaan.
Electrum sebelumnya menghadapi kampanye yang dimulai pada 2018 dan menggunakan server jahat untuk menampilkan pemberitahuan pembaruan palsu. Kampanye tersebut telah mencuri dana sekitar $25 juta dari pengguna Electrum hingga 2020. Electrum memungkinkan siapa pun untuk menjalankan server, sehingga jenis serangan ini dimungkinkan.
Pengguna yang hanya terhubung ke server yang mereka operasikan sendiri tidak terpengaruh. Pengguna yang tidak dapat memperbarui segera harus memeriksa alamat tujuan dan jumlah secara manual sebelum menandatangani transaksi apa pun. Electrum 4.8.3 tersedia melalui situs web dan GitHub proyek.