Le portefeuille Bitcoin Electrum a publié la version 4.8.3 afin de remédier à une vulnérabilité critique permettant à des serveurs malveillants de manipuler les transactions en attente et de rediriger les fonds vers des adresses contrôlées par les attaquants. L’exploit ciblait le modèle de confiance du portefeuille pour les transactions non confirmées, permettant aux acteurs malveillants de supprimer les paiements légitimes et d’en injecter de faux sans frais.
Le correctif vérifie les signatures cryptographiques sur les entrées appartenant au portefeuille avant d’afficher les transactions non confirmées dans l’historique local. Bien que ce correctif comble la principale surface d’attaque, les transactions entrantes provenant d’expéditeurs externes restent non vérifiées, obligeant les utilisateurs à demeurer prudents lorsqu’ils se connectent à des serveurs publics.
Faits marquants
- L’exploit consistait en des serveurs malveillants supprimant les transactions légitimes et injectant de fausses transactions contradictoires sans frais.
- Les utilisateurs effectuant un « fee-bumping » bloquaient involontairement des paiements tout en signant des transactions contrôlées par les attaquants.
- Le correctif vérifie les signatures cryptographiques sur les entrées appartenant au portefeuille.
- Au moins un utilisateur a confirmé avoir perdu des fonds le 18 octobre après avoir effectué un « fee-bumping » sur une transaction manipulée par un serveur.
- Le correctif a été tagué dans le dépôt le 23 octobre, et les binaires de la version 4.8.3 ont été publiés le 24 octobre.
Pourquoi cela importe
Cette vulnérabilité a directement entraîné des pertes financières avérées pour les utilisateurs ayant tenté d’accélérer des paiements bloqués, car l’action de « fee-bumping » diffusait une transaction valide payant l’attaquant au lieu du destinataire prévu.