Ví bitcoin Electrum đã phát hành phiên bản 4.8.3 vào ngày 24 tháng 10 để khắc phục lỗ hổng nghiêm trọng cho phép các máy chủ độc hại chuyển hướng thanh toán bitcoin đến kẻ tấn công. Lỗ hổng này ảnh hưởng đến mọi phiên bản trước 4.8.3. Bản vá đã được gắn nhãn trong kho mã vào ngày 23 tháng 10, và các phiên bản thực thi đã có sẵn vào ngày hôm sau.
Cuộc tấn công khai thác sự tin tưởng của Electrum vào các máy chủ khi xử lý các giao dịch chưa được xác nhận. Một máy chủ bị xâm phạm có thể giữ lại khoản thanh toán thực sự của người dùng và thay thế bằng một giao dịch xung đột chứa địa chỉ đích của kẻ tấn công và phí bằng không. Trước đây, Electrum hiển thị giao dịch thay thế như một giao dịch hợp lệ trong lịch sử ví mà không kiểm tra chữ ký. Phí bằng không khiến khoản thanh toán trông như bị đình trệ.
Một người dùng tăng phí của khoản thanh toán hiển thị sẽ ký và phát sóng một giao dịch mới, hợp lệ để chuyển tiền cho kẻ tấn công. Khoản thanh toán ban đầu không bao giờ đến được mạng lưới, khiến giao dịch có phí tăng trở thành khoản thanh toán đầu tiên được phát sóng thực tế. Nhà phát triển Electrum SomberNight, người công bố cảnh báo, cho biết kẻ tấn công có thể tạo ra một địa chỉ đích mà bốn ký tự cuối của nó trùng với địa chỉ người nhận dự định. Do đó, người dùng chỉ kiểm tra những ký tự đó sẽ thấy sự trùng khớp hiển thị.
Lời cảnh báo cho biết một số máy chủ đang tích cực thực hiện cuộc tấn công và trích dẫn hai báo cáo của người dùng. Một người dùng được xác định là dannydeezy đã báo cáo hoạt động máy chủ khả nghi vào ngày 11 tháng 10. Giao dịch bị thao túng này vẫn giữ trên máy chủ cục bộ và không có khoản tiền nào bị mất. Một người dùng thứ hai, Raju-K12, báo cáo mất tiền vào ngày 18 tháng 10 sau khi tăng phí cho một giao dịch bị thao túng.
Phiên bản 4.8.3 kiểm tra chữ ký mật mã trên các đầu vào thuộc về ví trước khi ghi lại giao dịch chưa xác nhận vào lịch sử cục bộ. Bản vá này ngăn máy chủ chèn giao dịch giả mạo liên quan đến các địa chỉ của người dùng mà không có chữ ký hợp lệ, điều mà kẻ tấn công không thể tạo ra. Tuy nhiên, Electrum vẫn chấp nhận các giao dịch đến mà không kiểm tra chữ ký khi không có đầu vào nào thuộc về ví nhận. SomberNight đã công nhận khoảng trống còn lại trong cảnh báo và cho biết việc khắc phục khoảng trống này sẽ đòi hỏi thêm công việc.
Electrum trước đây đã phải đối mặt với một chiến dịch bắt đầu từ năm 2018, sử dụng các máy chủ độc hại để hiển thị thông báo cập nhật gian lận. Đến năm 2020, chiến dịch này đã đánh cắp khoảng 25 triệu USD từ người dùng Electrum. Electrum cho phép bất kỳ ai vận hành một máy chủ, tạo điều kiện cho loại tấn công này xảy ra.
Người dùng chỉ kết nối đến máy chủ do chính họ vận hành sẽ không bị ảnh hưởng. Những người dùng không thể cập nhật ngay lập tức nên kiểm tra thủ công các địa chỉ đích và số tiền trước khi xác nhận bất kỳ giao dịch nào. Electrum 4.8.3 có sẵn qua trang web và GitHub của dự án.