Electrum ialah dompet bitcoin yang menyambung ke pelayan luar untuk mendapatkan sejarah transaksi. Electrum mengesahkan transaksi menggunakan pengesahan pembayaran ringkas (Simple Payment Verification). Dompet ini mempercayai fungsi ini kepada pelayan utamanya semasa memaparkan transaksi yang menunggu.
Penyerang menangkap transaksi melalui pelayan jahat sebelum maklumat masuk ke rangkaian Bitcoin. Dengan mematikan paparan transaksi sah, penjenayah boleh menggantikannya dengan memasukkan alamat mereka sendiri sebagai alamat penerima. Walaupun transaksi palsu itu mengandungi tanda tangan tidak sah, versi Electrum yang rentan tidak memeriksa tanda tangan tersebut sebelum memaparkan transaksi dalam sejarah dompet.
Risiko berlaku apabila pengguna cuba meningkatkan yuran transaksi melalui fungsi Replace-by-Fee (RBF), yang membolehkan menggantikan pembayaran yang belum disahkan dengan yang lain yang mempunyai yuran lebih tinggi. Semasa mengesahkan penyesuaian yuran, pengguna mungkin menandatangani transaksi yang sah untuk keuntungan penyerang.
Pembangun mengesahkan dua kes pencurian aset kripto. Pada 11 Oktober, pemilik dompet dengan nama samaran dannydeezy melaporkan bahawa transaksi yang dipaparkan dalam sejarah Electrum tidak sepadan dengan pembayaran yang asalnya dihantar. Seorang lagi anonim, Raju-K12, pada 18 Oktober memberitahu pembangun bahawa mereka kehilangan dana semasa cuba meningkatkan yuran transaksi. Dalam kesnya, transaksi penipuan mempunyai yuran sifar, yang menurut pasukan Electrum dilakukan supaya mangsa sendiri memulakan peningkatan yuran.
Kerentanan tersebut mempengaruhi semua versi Electrum hingga 4.8.3. Pembangun tidak menyatakan jumlah dana yang dicuri, bilangan pelayan yang terlibat dalam serangan, atau bilangan mangsa. Pasukan dompet kripto telah mengeluarkan pembaikan, menambahkannya pada versi 4.8.3 pada 23 Oktober. Fail binari yang boleh dimuat turun tersedia pada 24 Oktober. Pembangun telah memperkenalkan pengesahan tanda tangan untuk transaksi yang belum disahkan, dan menegaskan bahawa pembaharuan ini tidak menjadikan Electrum sebagai nod penuh Bitcoin. Ini bermaksud transaksi masuk yang belum disahkan tetap di luar pengesahan tanda tangan baru, manakala pembayaran yang telah disahkan terus melalui prosedur pengesahan lama.
Pengguna versi awal dompet disarankan untuk memuat turun kemas kini dari laman web rasmi Electrum. Mereka yang tidak dapat mengemas kini dengan cepat sebaiknya memeriksa alamat penerima dan jumlah secara penuh sebelum menandatangani transaksi, termasuk penggantian caj. Pengguna yang hanya menyambung ke pelayan tepercaya, termasuk pelayan sendiri, tidak terjejas oleh serangan ini.
Baru-baru ini, pakar Symantec Threat Hunter menemukan versi baru infostealer Aoki (Aokigahara) — program yang mencuri fail sesi asisten AI, fail cookie, dan data dompet kripto. Penjenayah siber menggunakan kunci API yang dicuri untuk mendapatkan akses ke repositori dan perkhidmatan awan yang berkaitan.