Bitcoin cüzdanı Electrum, 24 Ekim'de, saldırganlara bitcoin ödemelerini yönlendirmeye izin veren yüksek ciddiyette bir güvenlik açığını gidermek için 4.8.3 sürümünü yayınladı. Bu güvenlik açığı, 4.8.3 öncesi tüm sürümleri etkiliyor. Düzeltme, 23 Ekim'de kod deposunda etiketlendi ve yürütülebilir sürümler bir sonraki gün kullanıma sunuldu.
Saldırı, Electrum'un onaylanmamış işlemlerle çalışırken sunuculara olan güveninden yararlanır. Bir compromisli sunucu, kullanıcının gerçek ödemeyi gizleyebilir ve yerine, saldırganın hedef adresini ve sıfır ücreti içeren çakışan bir işlem yerleştirebilir. Electrum, daha önce imzaları kontrol etmeden bu değiştirilmiş işlemi cüzdan geçmişinde legítim olarak gösterirdi. Sıfır ücret, ödemenin duraklamış gibi görünmesine neden olur.
Görünür ödeme ücretini artıran bir kullanıcı, fonları saldırgana gönderen yeni, geçerli bir işlemi imzalar ve yayar. Orijinal ödeme hiçbir zaman ağa ulaşmaz; bu nedenle ücreti artırılmış işlem, aslında ilk olarak yayınlanan ödeme olur. Danışmanlığı yayımlayan Electrum geliştiricisi SomberNight, saldırganların, hedeflenen alıcının adresinin son dört karakteriyle eşleşen bir hedef adresi oluşturabileceğini söyledi. Sadece bu karakterleri kontrol eden bir kullanıcı, bu durumda görünür bir uyum görecektir.
Danışmanlık, bazı sunucuların aktif olarak saldırmakta olduğunu belirtiyor ve iki kullanıcı raporuna dayanıyor. Dannydeezy olarak tanımlanan bir kullanıcı, 11 Ekim'de şüpheli sunucu faaliyetini ilk kez rapor etti. Manipüle edilen işlem yerel sunucuda kaldı ve hiçbir fon kaybedilmedi. İkinci bir kullanıcı olan Raju-K12, 18 Ekim'de manipüle edilen bir işlemde ücreti artırınca fonlarını kaybetti.
Sürüm 4.8.3, onaylanmamış bir işlemi yerel geçmişe kaydetmeden önce cüzdana ait girdilerin kriptografik imzalarını kontrol eder. Bu düzeltme, saldırganların imzalayamadığı, kullanıcının kendi adreslerini içeren sahte bir işlemi sunucunun eklemesini önler. Ancak Electrum, girdilerden hiçbiri alıcı cüzdana ait değilse, imzaları kontrol etmeden gelen işlemleri kabul etmeye devam eder. SomberNight, bildirimde kalan boşluğu kabul etti ve bu boşluğun kapatılmasının daha fazla çalışma gerektireceğini söyledi.
Electrum, 2018 yılında başlayan ve zararlı sunucuları kullanarak sahte güncelleme bildirimleri gösteren bir kampanyayla karşı karşıya kalmıştı. Kampanya, 2020 yılına kadar Electrum kullanıcılarından tahmini 25 milyon dolar çalmıştı. Electrum, herkesin bir sunucu çalıştırmasına izin verdiğinden bu tür saldırılar mümkün hale gelmişti.
Kendi sunucularına yalnızca bağlanan kullanıcılar etkilenmez. Hemen güncelleyemeyen kullanıcılar, herhangi bir işlemi imzalamadan önce varış adreslerini ve miktarları manuel olarak kontrol etmelidir. Electrum 4.8.3, projenin web sitesi ve GitHub üzerinden mevcuttur.