Electrum é uma carteira Bitcoin que se conecta a servidores externos para obter o histórico de transações. O Electrum verifica transações usando verificação de pagamento simples (Simple Payment Verification). Ao exibir transações pendentes, a carteira confiava nessa função no seu servidor principal.
Os atacantes interceptavam transações por meio de servidores maliciosos antes mesmo de as informações chegarem à rede Bitcoin. Ao desativar a exibição da transação legítima, os criminosos podiam substituí-la, inserindo seu próprio endereço no lugar do endereço do destinatário. Embora a transação falsificada contivesse assinaturas inválidas, versões vulneráveis do Electrum não as verificavam antes de exibir a transação no histórico da carteira.
O risco ocorria quando os usuários tentavam aumentar a taxa de transação por meio da função Replace-by-Fee (RBF), que permite substituir um pagamento não confirmado por outro com taxa mais alta. Ao confirmar a ajuste da taxa, os usuários podiam assinar uma transação válida em benefício de um atacante.
Os desenvolvedores confirmaram dois casos de roubo de ativos criptográficos. Em 11 de outubro, o proprietário da carteira sob o pseudônimo dannydeezy relatou que uma transação exibida no histórico do Electrum não correspondia ao pagamento originalmente enviado. Outro anônimo, Raju-K12, notificou os desenvolvedores em 18 de outubro que havia perdido fundos ao tentar aumentar a taxa da transação. Nesse caso, a transação fraudulenta tinha taxa zero, o que, segundo a equipe do Electrum, foi feito para que a vítima iniciasse ela própria o aumento da taxa.
A vulnerabilidade afetou todas as versões do Electrum até a 4.8.3. Os desenvolvedores não especificaram o valor roubado, o número de servidores envolvidos no ataque ou o número de vítimas. A equipe da carteira criptográfica lançou uma correção, adicionando-a à versão 4.8.3 em 23 de outubro. Os arquivos binários para download ficaram disponíveis em 24 de outubro. Os desenvolvedores implementaram verificação de assinatura para transações não confirmadas e esclareceram que a atualização não transforma o Electrum em um nó completo do Bitcoin. Isso significa que as transações não confirmadas recebidas permanecem fora das novas verificações de assinatura, enquanto os pagamentos confirmados continuam passando pelos procedimentos anteriores de verificação.
Owners of early wallet versions are advised to download the update from the official Electrum website. Those who cannot update quickly should verify full recipient addresses and amounts before signing transactions, including fee replacements. Users connecting only to trusted servers, including their own, are not vulnerable to this attack.
Recent Symantec Threat Hunter experts discovered a new version of the info-stealer Aoki (Aokigahara)—a program that steals AI assistant session files, cookies, and cryptocurrency wallet data. Hackers use the stolen API keys to gain access to associated repositories and cloud services.