Поделиться

Ссылка скопирована

Компания Electrum выпустила версию 4.8.3 для устранения серьезной уязвимости в биткоин-кошельке, которую злоумышленники использовали для перенаправления платежей пользователей, при этом разработчики подтвердили как минимум один случай кражи средств.

Согласно опубликованному 24 октября предупреждению о безопасности advisory, злоумышленники использовали способ обработки Electrum неподтвержденных транзакций в биткоинах, заменяя легитимные исходящие платежи мошенническими, которые пользователи могли случайно авторизовать, увеличивая при этом комиссии за транзакции.

Electrum – это легковесный биткоин-кошелек, который подключается к внешним серверам для получения информации о транзакциях, трансляции и другой сетевой информации. В отличие от полнофункционального биткоин-узла, это программное обеспечение не обрабатывает самостоятельно все аспекты активности блокчейна.

Новый релиз: Electrum 4.8.3. Этот релиз устраняет критическую уязвимость в безопасности, поэтому мы настоятельно рекомендуем всем пользователям обновиться. Описание уязвимости будет опубликовано позднее сегодня. (Обратите внимание: Windows Defender может отображать предупреждение о ZXing.dll, игнорируйте его, это ложное срабатывание)

— Electrum (@ElectrumWallet) 24 октября 2026

В документации Electrum объясняется, что кошелек проверяет подтвержденные транзакции с помощью Simple Payment Verification, но исторически доверял своему основному серверу при отображении ожидающих транзакций.

Злоумышленники использовали эту особенность, перехватывая транзакции, отправленные через вредоносные серверы, прежде чем они достигли сети Bitcoin.

После предотвращения трансляции легитимной транзакции, злоумышленник мог отправить кошельку заменяющую транзакцию, изменив адрес получателя на адрес, контролируемый злоумышленником.

Хотя заменяющая транзакция содержала недействительные подписи, уязвимые версии Electrum не проверяли их, прежде чем отображать транзакцию в истории кошелька.

Вам также может быть интересно: Популярный биткоин-кошелек Electrum теперь поддерживает Lightning Network

Опасность возникла, когда пользователи пытались увеличить комиссию за транзакцию с помощью функции Replace-by-Fee (RBF), которая позволяет заменить неподтвержденный платеж другим платежом с более высокой комиссией.

Подтверждая изменение комиссии, пользователи могли непреднамеренно подписать действительную транзакцию, отправляя средства злоумышленнику.

Electrum подтверждает реальные случаи эксплуатации и потери биткоинов

Разработчики сообщили о двух инцидентах, о которых было сообщено конфиденциально, что подтверждает, что уязвимость вышла за рамки теоретической атаки.

11 октября пользователь с ником dannydeezy сообщил о том, что транзакция, отображаемая в истории Electrum, не соответствовала первоначально отправленному платежу.

18 октября другой пользователь, Raju-K12, обратился к разработчикам после того, как потерял средства, пытаясь увеличить комиссию за транзакцию.

Согласно сообщению, в обоих случаях злоумышленники использовали контролируемые ими адреса получателей, которые были разработаны таким образом, чтобы совпадать с последними четырьмя символами адреса Bitcoin предполагаемого получателя.

Во втором случае, в мошеннической транзакции была указана нулевая комиссия, что, по мнению разработчиков, было сделано для того, чтобы побудить жертву увеличить комиссию.

В первом случае использовался многоподписной кошелек с тремя ключами, при этом для его работы использовались два устройства Trezor. Легитимная транзакция содержала 31 вход и один выход.

Расследование показало, что все 62 подписи были действительными для первоначального платежа, но недействительными для подставной транзакции. Поддельная транзакция перенаправила почти все Bitcoin на похожий адрес и вернула небольшую сумму обратно в кошелек.

Первоначальная транзакция оставалась действительной, но так и не была отправлена в публичную сеть Bitcoin.

Компания Electrum признала, что некоторые серверы осуществляли эту атаку. Однако разработчики не сообщили, сколько серверов участвовало, какая сумма была украдена, и были ли идентифицированы другие жертвы.

Electrum 4.8.3 блокирует вредоносные транзакции с увеличением комиссии

Исправление было включено в версию 4.8.3 23 октября, а загружаемые файлы были выпущены 24 октября.

Благодаря коммиту 90fe308, разработчики внедрили проверку подписей для необработанных транзакций, использующих входы, принадлежащие кошельку пользователя.

Теперь Electrum проверяет эти подписи, прежде чем принимать транзакции в свою локальную историю, что предотвращает появление мошеннических исходящих платежей, описанных в сообщении, в виде легитимных транзакций.

Это обновление не превращает Electrum в полноценный узел Bitcoin. Разработчики уточнили, что входящие необработанные транзакции по-прежнему не проходят новую проверку подписей, в то время как подтвержденные платежи продолжают проходить существующие процедуры проверки.

Пользователям, использующим версии, предшествующие 4.8.3, рекомендуется загрузить обновление с официального сайта Electrum.

Для тех, кто не может немедленно обновиться, разработчики рекомендуют проверять полные адреса получателей и суммы перед подписанием транзакций, включая изменения комиссии.

Согласно сообщению, пользователи, подключающиеся исключительно к проверенным серверам, включая собственные, не подвергаются этой конкретной атаке, связанной с вредоносными серверами.

Предыдущие атаки на Electrum выявили повторяющиеся риски, связанные с серверами

Этот инцидент последовал за предыдущими попытками использовать зависимость Electrum от внешних серверов.

В декабре 2018 года издание crypto.news сообщило о том, что вредоносные серверы отображали пользователям поддельные инструкции по обновлению программного обеспечения. Современные отчеты оценивали убытки, приближающиеся к 1 миллиону долларов.

Другая кампания, использующая вредоносные серверы в 2019 году, использовала поддельные обновления кошельков и действия, направленные на отказ в обслуживании, чтобы перенаправлять пользователей на скомпрометированное программное обеспечение.

Эти атаки основывались на обманных загрузках, в то время как недавно исправленная уязвимость манипулировала информацией о ожидающих транзакциях внутри, казалось бы, легитимного кошелька.

В 2020 году было опубликовано интервью о серверах Electrum, в котором рассматривались компромиссы, связанные с использованием легковесных кошельков, включая их зависимость от внешней инфраструктуры для хранения истории транзакций.

В собственной документации Electrum говорится, что клиент обычно подключается к примерно 10 серверам, но выбирает один основной сервер для получения истории кошелька и трансляции транзакций. В документации также указано, что этот основной сервер считается надежным в отношении неподтвержденных транзакций.

Читайте далее: Взлом кошелька Keystone раскрыл домашние адреса пользователей, что вызвало опасения по поводу безопасности