Electrum adalah dompet Bitcoin yang terhubung ke server eksternal untuk mendapatkan riwayat transaksi. Electrum memverifikasi transaksi menggunakan Simple Payment Verification. Saat menampilkan transaksi yang menunggu, dompet ini mempercayakan fungsi ini ke server utamanya.
Penyerang menyadap transaksi melalui server berbahaya sebelum informasi masuk ke jaringan Bitcoin. Dengan menonaktifkan tampilan transaksi sah, penjahat dapat menggantinya dengan memasukkan alamat mereka sendiri sebagai alamat penerima. Meskipun transaksi palsu tersebut mengandung tanda tangan tidak valid, versi Electrum yang rentan tidak memeriksa tanda tangan tersebut sebelum menampilkan transaksi di riwayat dompet.
Risiko muncul ketika pengguna mencoba meningkatkan biaya transaksi melalui fitur Replace-by-Fee (RBF), yang memungkinkan penggantian pembayaran yang belum dikonfirmasi dengan yang lain, dengan biaya lebih tinggi. Dengan mengonfirmasi penyesuaian biaya, pengguna dapat menandatangani transaksi yang valid untuk keuntungan penyerang.
Para pengembang mengonfirmasi dua kasus pencurian aset kripto. Pada 11 Oktober, pemilik dompet dengan nama samaran dannydeezy melaporkan bahwa transaksi yang ditampilkan dalam riwayat Electrum tidak sesuai dengan pembayaran yang awalnya dikirim. Seorang anonim lainnya, Raju-K12, pada 18 Oktober memberi tahu pengembang bahwa mereka kehilangan dana saat mencoba meningkatkan biaya transaksi. Dalam kasusnya, transaksi penipuan memiliki biaya nol, yang menurut tim Electrum dilakukan agar korban secara mandiri memicu peningkatan biaya.
Kerentanan ini memengaruhi semua versi Electrum hingga 4.8.3. Pengembang tidak mengungkapkan jumlah dana yang dicuri, jumlah server yang terlibat dalam serangan, atau jumlah korban. Tim dompet kripto merilis perbaikan, yang ditambahkan pada 23 Oktober dalam versi 4.8.3. File biner yang dapat diunduh tersedia pada 24 Oktober. Pengembang menerapkan verifikasi tanda tangan untuk transaksi yang belum dikonfirmasi, dan menegaskan bahwa pembaruan ini tidak mengubah Electrum menjadi node Bitcoin penuh. Ini berarti transaksi masuk yang belum dikonfirmasi tetap berada di luar pemeriksaan tanda tangan baru, sementara pembayaran yang sudah dikonfirmasi tetap melewati prosedur verifikasi sebelumnya.
Pengguna versi awal dompet disarankan untuk mengunduh pembaruan dari situs resmi Electrum. Mereka yang tidak dapat memperbarui dengan cepat sebaiknya memeriksa alamat penerima dan jumlah secara lengkap sebelum menandatangani transaksi, termasuk penggantian biaya. Pengguna yang hanya terhubung ke server tepercaya, termasuk server sendiri, tidak rentan terhadap serangan ini.
Baru-baru ini, para ahli Symantec Threat Hunter menemukan versi baru dari infostealer Aoki (Aokigahara)—program yang mencuri file sesi asisten AI, file cookie, dan data dompet kripto. Peretas menggunakan kunci API yang dicuri untuk mendapatkan akses ke repositori terkait dan layanan cloud.