Chargement du message de X…
Voir l’article sur X
Electrum s’appuie sur des serveurs pour l’historique des transactions et la diffusion des paiements. Sa documentation indique que le serveur principal est fiable pour les transactions non confirmées. L’attaque exploite cette confiance.
Selon l’avis, un serveur malveillant peut retenir le paiement initial d’un utilisateur et insérer une transaction conflictuelle dans l’historique du portefeuille qui remplace la destination prévue par une adresse contrôlée par l’attaquant. Cette transaction comporte des signatures invalides, mais les clients plus anciens ne les ont pas vérifiées avant de l’afficher comme non confirmée.
Si l’utilisateur augmente ensuite manuellement ses frais à l’aide du remplacement par frais, ou RBF, le portefeuille signe la transaction modifiée, payant ainsi l’attaquant. Les deux rapports d’utilisateurs impliquaient des adresses d’attaquants conçues pour correspondre aux quatre derniers caractères de la destination prévue, indique l’avis.
La version 4.8.3 vérifie désormais les signatures des entrées dépensant les propres pièces du portefeuille avant d’ajouter les transactions non confirmées à son historique local. Electrum affirme que les clients qui se connectent à des serveurs de confiance, comme le leur, ne sont pas affectés par cette attaque.
Bull Bitcoin prévoit des contrôles similaires
Francis Pouliot, PDG de Bull Bitcoin, a déclaré que son portefeuille BULL se connecte par défaut uniquement à deux serveurs gérés par Bull Bitcoin et à un serveur géré par Blockstream. Les utilisateurs doivent ajouter manuellement une adresse pour se connecter à un autre serveur, a-t-il déclaré.
Pouliot a déclaré que les utilisateurs de BULL ne seraient pas affectés à moins qu’ils n’aient sélectionné manuellement un serveur compromis. « Néanmoins, nous ajoutons immédiatement une validation côté client en utilisant la même approche que le portefeuille Electrum », a-t-il écrit.
L’avis d’Electrum exhorte les utilisateurs à effectuer une mise à niveau. Comme solution de contournement pour ceux qui ne l’ont pas fait, il est conseillé de vérifier les adresses de destination et les montants chaque fois que vous signez une transaction, y compris une augmentation des frais. La page de téléchargement du projet indique aux utilisateurs d’obtenir le logiciel uniquement sur electrum.org et de vérifier ses signatures GPG.
