Electrum, işlem geçmişini almak için dış sunuculara bağlanan bir Bitcoin cüzdanıdır. Electrum, basit ödeme doğrulaması (Simple Payment Verification) kullanarak işlemleri doğrular. Bekleyen işlemler görüntülenirken cüzdan bu işlevi ana sunucusuna güvenir.
Saldırganlar, bilgiler Bitcoin ağına girmeden önce zararlı sunucular aracılığıyla işlemlerini ele geçirmişti. Legitim işlemi gizleyerek, suçlular alıcı adresinin yerine kendi adreslerini ekleyebiliyordu. Sahte işlemler geçersiz imzalar içerse de, savunmasız Electrum sürümleri, işlemi cüzdan geçmişinde göstermeden önce bu imzaları kontrol etmiyordu.
Risk, kullanıcıların Replace-by-Fee (RBF) işlevini kullanarak işlem ücretini artırma girişiminde bulunduğu zaman ortaya çıkardı; bu işlev, onaylanmamış bir ödemeyi daha yüksek ücretli bir işlemle değiştirmeye izin verir. Ücret düzeltmesini onaylarken kullanıcılar, saldırganın lehine geçerli bir işlemi imzalayabilirdi.
Geliştiriciler, iki kripto varlık çalma olayını doğruladı. 11 Ekim'de dannydeezy takma adlı bir cüzdan sahibi, Electrum geçmişinde gösterilen bir işlemin orijinal olarak gönderilen ödemeye uymadığını bildirdi. 18 Ekim'de başka bir anonim kullanıcı olan Raju-K12, işlem ücretini artırmaya çalışırken varlıklarını kaybettiğini geliştiricilere bildirdi. Bu durumda, sahtekâr işlemin ücreti sıfırdı; Electrum ekibi, bu durumun kurbanın kendi kendine ücret artışını başlatmasını sağlamak amacıyla yapıldığını düşünüyor.
Zafiyet, 4.8.3'e kadar olan tüm Electrum sürümlerini etkiledi. Geliştiriciler, çalınan miktarı, saldırıda kullanılan sunucu sayısını ve kurban sayısını belirtmedi. Kripto cüzdan ekibi, 23 Ekim'de 4.8.3 sürümüne ekleyerek bir düzeltme yayınladı. İndirilebilir ikili dosyalar 24 Ekim'de erişilebilir hale geldi. Geliştiriciler, onaylanmamış işlemler için imza doğrulaması ekledi ve güncellemeyle Electrum'un bir Bitcoin tam düğümüne dönüştüğünü belirtti. Bu, gelen onaylanmamış işlemlerin yeni imza doğrulamalarının dışında kalacağı anlamına gelirken, onaylanmış ödemeler eski doğrulama prosedürlerine devam edecektir.
Eski cüzdan sürümlerine sahip olanlar, Electrum'un resmi sitesinden güncelleme indirmelidir. Hızlı bir şekilde güncelleme yapamayanlar, işlem ücretlerinin değiştirilmesini de dahil ederek, işlemlerini imzalamadan önce alıcı adreslerini ve miktarları kontrol etmelidir. Kendi sunucusunu da dahil ederek yalnızca güvenilen sunuculara bağlanan kullanıcılar bu saldırıya maruz kalmaz.
Son zamanlarda Symantec Threat Hunter ekibi buldu Aoki (Aokigahara) adlı bir bilgi çalma yazılımının yeni bir versiyonunu — AI asistanlarının oturum dosyalarını, çerezleri ve kripto cüzdan verilerini çalan bir program. Saldırganlar, çalınan API anahtarlarını kullanarak ilişkili depolara ve bulut hizmetlerine erişim sağlıyor.