Dompet bitcoin Electrum telah merilis versi 4.8.3 pada 24 Oktober untuk memperbaiki kerentanan serius yang memungkinkan pelayan jahat mengalihkan pembayaran bitcoin kepada penyerang. Kerentanan ini memengaruhi setiap versi sebelum 4.8.3. Pembaikan ditandai di repositori kod pada 23 Oktober, dan rilis boleh ejekan tersedia pada hari berikutnya.
Serangan ini memanfaatkan kepercayaan Electrum terhadap pelayan semasa menangani transaksi yang belum disahkan. Pelayan yang telah disusupi boleh menahan pembayaran sebenar pengguna dan menggantikannya dengan transaksi yang bertentangan yang mengandungi alamat tujuan penyerang dan bayaran sifar. Electrum sebelum ini menunjukkan transaksi pengganti sebagai sah dalam sejarah dompet tanpa memeriksa tanda tangan. Bayaran sifar membuatkan pembayaran kelihatan terhenti.
Pengguna yang meningkatkan caj pembayaran yang kelihatan menandatangani dan menyiar transaksi baru yang sah yang menghantar dana kepada penyerang. Pembayaran asal tidak pernah sampai ke rangkaian, menjadikan transaksi dengan caj yang ditingkatkan sebagai pembayaran pertama yang sebenarnya disiarkan. Pengembang Electrum, SomberNight, yang menerbitkan amaran tersebut, mengatakan penyerang boleh menghasilkan alamat tujuan yang empat karakter terakhirnya sepadan dengan alamat penerima yang dimaksudkan. Pengguna yang hanya memeriksa karakter-karakter tersebut oleh itu akan melihat persamaan yang kelihatan.
Peringatan tersebut menyatakan bahawa beberapa pelayan sedang secara aktif menjalankan serangan dan merujuk kepada dua laporan pengguna. Seorang pengguna yang dikenali sebagai dannydeezy pertama kali melaporkan aktiviti pelayan mencurigakan pada 11 Oktober. Transaksi yang dimanipulasi itu kekal di pelayan tempatan, dan tiada dana yang hilang. Seorang pengguna kedua, Raju-K12, melaporkan kehilangan dana pada 18 Oktober selepas meningkatkan yuran pada transaksi yang dimanipulasi.
Versi 4.8.3 memeriksa tanda tangan kriptografi pada input yang dimiliki oleh dompet sebelum merekod transaksi yang belum dikonfirmasi dalam sejarah tempatan. Pembaikan ini mencegah pelayan memasukkan transaksi palsu yang melibatkan alamat milik pengguna tanpa tanda tangan yang sah, yang tidak boleh dipalsukan oleh penyerang. Namun, Electrum masih menerima transaksi masuk tanpa memeriksa tanda tangan apabila tiada input mana pun yang dimiliki oleh dompet penerima. SomberNight mengakui kesenjangan yang tinggal dalam amaran dan mengatakan penyelesaian kesenjangan ini memerlukan lebih banyak kerja.
Electrum sebelumnya menghadapi kampanye yang bermula pada 2018 dan menggunakan pelayan jahat untuk memaparkan notis kemas kini penipuan. Kampanye tersebut telah mencuri anggaran $25 juta daripada pengguna Electrum pada 2020. Electrum membenarkan sesiapa sahaja mengendalikan pelayan, menjadikan serangan kategori ini mungkin berlaku.
Pengguna yang hanya menyambung ke pelayan yang mereka kendalikan sendiri tidak terjejas. Pengguna yang tidak dapat mengemas kini segera harus memeriksa alamat tujuan dan jumlah secara manual sebelum menandatangani sebarang transaksi. Electrum 4.8.3 tersedia melalui laman web dan GitHub projek.