✔В кошельке Electrum исправили баг, позволяющий похищать криптовалюту - «Новости»

Разработчики биткоин-кошелька Electrum выпустили версию 4.8.3, в которой исправили баг, которым уже пользовались злоумышленники. Из-за уязвимости контролируемый хакером сервер мог подменять неподтвержденные транзакции в истории кошелька. Если пользователь не замечал подмены и пытался ускорить перевод, повысив комиссию, Electrum создавал новую транзакцию с адресом атакующего вместо настоящего получателя. После ее подписания криптовалюта уходила злоумышленникам. Сообщается, что проблема, получившая идентификатор GHSA-6jp4-8v48-cc5v, затрагивала все версии Electrum до 4.8.3. Корень бага заключался в том, что Electrum работает как легкий клиент и получает данные о транзакциях через сеть Electrum-серверов, которые могут запускать сторонние операторы. Один из подключенных серверов выбирается основным, и именно его данным о неподтвержденных транзакциях кошелек доверяет без проверки подписей. В результате злоумышленник, контролировавший такой сервер, мог задержать исходящую транзакцию и подменить ее фиктивной, а адрес получателя изменить на свой. Хотя подписи такого фейка были недействительными, Electrum отображал его в истории как неподтвержденный платеж, тогда как исходная транзакция не отображалась. Если пользователь пытался ускорить якобы зависший перевод через Replace-by-Fee (RBF), увеличив комиссию, Electrum формировал уже действительную транзакцию на основе поддельной, и после подтверждения она получала подпись пользователя, а криптовалюта попадала в руки хакеров. Подчеркивается, что атакующим не требовалось похищать приватные ключи или получать доступ к самому кошельку. Также было недостаточно и самой подмены: кража происходила только в том случае, если жертва вручную увеличивала комиссию и подтверждала измененную транзакцию. Разработчики сообщают, что получили два сообщения об атаках на эту уязвимость. Первое поступило 11 октября 2026 года от пользователя кошелька с мультиподписью по схеме «2 из 3». Для работы с кошельком он использовал два аппаратных устройства Trezor. В этом случае пользователь заметил подмену транзакции и не потерял деньги. Однако 18 октября другой пользователь сообщил, что не обратил внимания на подмену транзакции, повысил комиссию и лишился биткоинов. Размер ущерба разработчики не раскрывают. Чтобы не вызывать подозрений у жертв, в обоих случаях атакующие подобрали адреса, последние четыре символа которых совпадали с настоящими. Кроме того, во втором случае для поддельной транзакции установили нулевую комиссию, вероятно, чтобы подтолкнуть пользователя к ее ускорению. В Electrum 4.8.3, вышедшей 24 октября, разработчики добавили проверку подписей для неподтвержденных транзакций, которые расходуют средства кошелька. Всем пользователям рекомендуют установить это обновление, а до установки патча внимательно сверять адрес получателя и сумму перед подписанием любых транзакций, включая простое повышение комиссии.