Согласно представленному актуальному сообщению, в кошельке Electrum была устранена критическая уязвимость, позволявшая вредоносному серверу подменить Bitcoin-платёж при повышении комиссии и заставить пользователя подписать поддельную заменяющую транзакцию. В том же сообщении утверждается, что затронуты версии до 4.8.3, один пользователь потерял средства, а пользователям следует обновить приложение и перед подписанием повторно проверить адрес получателя и сумму.

Как предположительно работает атака на Electrum

Имеющиеся публикации описывают атаку с подменой транзакции, а не утверждают, что каждый платёж Electrum автоматически перенаправляется. Согласно представленному краткому сообщению, вредоносный сервер вмешивается уже после отправки транзакции, а затем использует механизм Replace-by-Fee, или RBF, чтобы кошелёк подписал поддельную заменяющую транзакцию.

Таким образом, предполагаемая слабая точка — этап повышения комиссии. Когда пользователь пытается увеличить комиссию майнерам для ожидающей Bitcoin-транзакции, кошельку может потребоваться подписать её новую версию. В кратком сообщении говорится, что именно на этом этапе вредоносный сервер может подменить адрес на контролируемый атакующим и одновременно повысить комиссию, из-за чего операция выглядит как обычная попытка ускорить подтверждение.

Сниппет в поисковой выдаче The Defiant описывает ту же схему: вредоносный сервер способен подставить фиктивный платёж и обманом получить подпись пользователя, одновременно увеличив комиссию транзакции. В совокупности эти сообщения указывают на заявленную проблему доверия к экрану подписания при заменяющих транзакциях, а не на прямую компрометацию приватных ключей Electrum.

Что заявление об исправлении в версии 4.8.3 означает для пользователей

Исходя из представленного сообщения, пользователям следует незамедлительно обновить приложение и перед подписанием любой транзакции проверять адрес получателя и сумму. Это наиболее практичный ответ на вопрос, требует ли ситуация изменить привычки пользователей: даже при заявленном исправлении ПО внимательная проверка транзакции остаётся основной защитой от подмены платежа.

Вместе с тем сохраняется существенная неопределённость относительно точной версии с исправлением. В представленном кратком сообщении указано, что проблема затрагивает версии до 4.8.3 и исправлена в 4.8.3, однако предоставленные материалы не содержали доступных для ознакомления примечаний к выпуску Electrum или бюллетеня безопасности, подтверждающих эту версию. В сниппете поисковой выдачи на сайте самого Electrum последним релизом была указана версия 4.8.2, поэтому исправление в 4.8.3 следует рассматривать как заявленную, а не напрямую подтверждённую информацию о версии релиза.

Эта неопределённость не опровергает описанный механизм атаки, но ограничивает точность формулировок об исправлении. Не следует считать, что одного обновления достаточно для устранения всех рисков, связанных с вредоносными серверами; кроме того, представленные материалы не подтверждают, что все платформы Electrum, режимы работы кошелька или все RBF-транзакции затронуты одинаково.

Что подтверждается текущими публикациями

Наиболее обоснованными выглядят следующие утверждения: заявленный риск связан с вредоносным сервером, предполагаемый путь хищения основан на подписании заменяющей транзакции при повышении комиссии, а пользователям рекомендовано обновить приложение и тщательно проверять адрес назначения и сумму перед подписанием. В представленном кратком сообщении также говорится, что Electrum получил два связанных отчёта и что один пользователь потерял средства.

Не менее важно и то, что в представленных материалах не установлено. Здесь нет доступного для прямого ознакомления бюллетеня Electrum, подтверждающего число инцидентов, не изучена первичная страница релиза, доказывающая, что 4.8.3 является актуальной версией с исправлением, и не подтверждён охват конкретных платформ или конфигураций кошелька. Поэтому текущую ситуацию следует рассматривать как заслуживающий доверия заявленный риск при подписании транзакций в кошельке, при этом первоисточник, подтверждающий точную версию релиза, пока отсутствует.