🚨 Augmenter les frais d’une transaction pourrait envoyer votre $BTC à un escroc.
Electrum a révélé une vulnérabilité qui transformait une simple accélération de transaction en risque de vol.
Un serveur malveillant pouvait masquer le paiement d’origine et afficher une fausse transaction vers l’adresse de l’attaquant. Les signatures de cette transaction étaient invalides, mais les anciennes versions du portefeuille ne les vérifiaient pas.
Lorsque l’utilisateur augmentait les frais avec Replace-by-Fee (RBF), le portefeuille signait la transaction substituée, autorisant ainsi le paiement à l’attaquant.
Pour dissimuler la substitution, les attaquants généraient des adresses dont les quatre derniers caractères correspondaient à ceux de l’adresse du destinataire prévu. Les développeurs ont reçu deux signalements, dont un concernant des fonds perdus.
✅ Le correctif est disponible dans Electrum 4.8.3. Faites la mise à jour avant votre prochaine transaction. Téléchargez le logiciel uniquement depuis electrum.org et vérifiez la signature GPG du programme d’installation.
Ce que j’en retiens : garder soi-même la maîtrise de ses fonds implique de vérifier précisément ce que l’on signe. Même une action familière comme « augmenter les frais » mérite de vérifier à nouveau l’adresse de destination complète et le montant. Quatre caractères identiques ne suffisent pas.
Cet incident concerne la sécurité du portefeuille et la confiance accordée aux serveurs. Le protocole sous-jacent de Bitcoin n’a pas été compromis.
$BTC
Electrum a révélé une vulnérabilité qui transformait une simple accélération de transaction en risque de vol.
Un serveur malveillant pouvait masquer le paiement d’origine et afficher une fausse transaction vers l’adresse de l’attaquant. Les signatures de cette transaction étaient invalides, mais les anciennes versions du portefeuille ne les vérifiaient pas.
Lorsque l’utilisateur augmentait les frais avec Replace-by-Fee (RBF), le portefeuille signait la transaction substituée, autorisant ainsi le paiement à l’attaquant.
Pour dissimuler la substitution, les attaquants généraient des adresses dont les quatre derniers caractères correspondaient à ceux de l’adresse du destinataire prévu. Les développeurs ont reçu deux signalements, dont un concernant des fonds perdus.
✅ Le correctif est disponible dans Electrum 4.8.3. Faites la mise à jour avant votre prochaine transaction. Téléchargez le logiciel uniquement depuis electrum.org et vérifiez la signature GPG du programme d’installation.
Ce que j’en retiens : garder soi-même la maîtrise de ses fonds implique de vérifier précisément ce que l’on signe. Même une action familière comme « augmenter les frais » mérite de vérifier à nouveau l’adresse de destination complète et le montant. Quatre caractères identiques ne suffisent pas.
Cet incident concerne la sécurité du portefeuille et la confiance accordée aux serveurs. Le protocole sous-jacent de Bitcoin n’a pas été compromis.
$BTC
