Electrumは、取引履歴を取得するために外部サーバーに接続するビットコインウォレットです。Electrumは、シンプルペイメント検証（Simple Payment Verification）を使用して取引を検証します。ウォレットは、保留中の取引を表示する際、この機能をメインサーバーに信頼していました。
攻撃者は、情報がビットコインネットワークに到達する前から、悪意のあるサーバーを通じてトランザクションを傍受していた。正当なトランザクションの表示を無効にすることで、犯罪者は受信者アドレスを自身のアドレスに置き換えることができた。偽のトランザクションには無効な署名が含まれていたが、脆弱なバージョンのElectrumは、ウォレット履歴にトランザクションを表示する前にそれらの署名を検証しなかった。
リスクは、ユーザーがReplace-by-Fee（RBF）機能を通じてトランザクション手数料を増やそうとした際に発生しました。この機能は、未確認の支払いをより高い手数料の支払いに置き換えることを可能にします。手数料の調整を確認する際、ユーザーは悪意のある第三者への有効なトランザクションに署名してしまう可能性がありました。
開発者は、2件の暗号資産盗難事例を確認しました。10月11日、仮名dannydeezyのウォレット所有者は、Electrumの履歴に表示されるトランザクションが、元々送信された支払いと一致していないと報告しました。もう1人の匿名ユーザーRaju-K12は、10月18日に、トランザクション手数料を増やす際に資金を失ったと開発者に通知しました。彼のケースでは、不正なトランザクションの手数料がゼロであり、Electrumチームはこれが被害者が自ら手数料を引き上げるよう仕向けられたものだと判断しています。
脆弱性は4.8.3より前のすべてのElectrumバージョンに影響しました。開発者は、盗まれた資金の額、攻撃に使用されたサーバーの数、被害者の数については明言していません。クリプトウォレットチームは、10月23日にバージョン4.8.3にパッチを追加して修正版をリリースしました。バイナリファイルのダウンロードは10月24日に可能になりました。開発者は、未確認トランザクションに対する署名検証を導入し、この更新によりElectrumが完全なビットコインノードになるわけではないと明確にしました。これは、受信した未確認トランザクションは新しい署名検証の対象外である一方で、確認済みの支払いは従来の検証プロセスを継続することを意味します。
早期バージョンのウォレットをお使いの方は、Electrumの公式サイトからアップデートをダウンロードすることをお勧めします。迅速にアップデートできない方は、手数料の変更を含め、トランザクションに署名する前に受信者の完全なアドレスと金額を確認してください。信頼できるサーバー（自身のサーバーを含む）にのみ接続しているユーザーは、この攻撃の影響を受けません。
最近、Symantec Threat Hunterの専門家が、AIアシスタントのセッションファイル、クッキー、暗号ウォレットデータを盗むインフォステーラーAoki（Aokigahara）の新バージョンを発見しました。ハッカーは盗んだAPIキーを使用して、関連するリポジトリやクラウドサービスにアクセスします。