Electrum corrige une vulnérabilité Bitcoin permettant la redirection des paiements

Electrum a corrigé une faille de sécurité qui permettait aux hackers de rediriger les paiements Bitcoin lorsque les utilisateurs tentaient d'augmenter les frais de transaction. La vulnérabilité, affectant les versions antérieures à 4.8.3, a été divulguée le 24 octobre après que des serveurs malveillants l'ont exploitée, entraînant la perte d'au moins un utilisateur de Bitcoin en raison d'une approbation de transaction frauduleuse. La faille provient de la dépendance du portefeuille à des serveurs externes pour le suivi des transactions non confirmées, permettant aux attaquants de manipuler les informations de paiement visibles par les utilisateurs. Deux plaintes ont été signalées les 11 et 18 octobre, un utilisateur ayant remarqué une transaction inconnue et un autre ayant perdu des fonds en essayant d'accélérer un transfert en attente. Les attaquants ont généré des adresses Bitcoin correspondant aux quatre derniers caractères des adresses des destinataires prévus, trompant les utilisateurs s'appuyant sur des vérifications partielles. L'exploitation permet à un serveur malveillant de retenir des transactions légitimes et de les remplacer par des transactions frauduleuses, que les utilisateurs pourraient approuver sans le savoir en augmentant les frais. La mise à jour d'Electrum du 23 octobre a introduit des vérifications de signature pour les entrées appartenant au portefeuille, empêchant cette technique de substitution. Les utilisateurs sont conseillés de télécharger le correctif et de vérifier les adresses des destinataires et les montants des paiements.