Problém sa týkal verzií Electrum starších ako 4.8.3. Peňaženka pri zobrazovaní nepotvrdených transakcií využíva údaje zo servera, ku ktorému je pripojená. Pred opravou pri relevantných odchádzajúcich transakciách nekontrolovala, či informácie podstrčené škodlivým serverom obsahujú platné podpisy.
Podľa bezpečnostného oznámenia vývojárov mohol takýto server zadržať pôvodnú platbu a v histórii peňaženky zobraziť namiesto nej neplatnú transakciu smerujúcu na inú adresu. Tá by sama osebe nemohla platne previesť bitcoiny. Nebezpečný bol ďalší krok: funkcia Replace-by-Fee umožňuje používateľovi nahradiť nepotvrdenú platbu novou s vyšším poplatkom. Pri tomto úkone mohol Electrum vytvoriť platný podpis pre podstrčenú transakciu.
Vývojári dostali prvé hlásenie 11. októbra od používateľa, ktorý si všimol zmenenú transakciu v histórii. Druhý používateľ 18. októbra oznámil, že po zvýšení poplatku prišiel o prostriedky. Podľa oboch hlásení mali adresy útočníkov rovnaké posledné štyri znaky ako pôvodné adresy príjemcov. Výška potvrdenej straty ani celkový rozsah zneužitia neboli zverejnené.
Oprava je súčasťou verzie Electrum 4.8.3, ktorej inštalačné súbory vyšli 24. októbra. Peňaženka po aktualizácii overuje podpisy nepotvrdených transakcií míňajúcich prostriedky z vlastných adries. Vývojári odporúčajú používateľom starších verzií aktualizáciu a pri každom podpisovaní platby skontrolovať celú cieľovú adresu aj sumu.
Útok vyžadoval pripojenie k škodlivému serveru a následné schválenie pozmenenej platby používateľom. Podľa vývojárov sa netýkal klientov pripojených výhradne k serverom, ktorým dôverujú, napríklad k vlastnému serveru. Oznámenie nehovorí o prelomení Bitcoinu ani o krádeži súkromných kľúčov.
⚠️ Tento článok nie je finančné poradenstvo. Pákové obchodovanie s derivátmi nesie mimoriadne vysoké riziko straty investovaného kapitálu. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.