đ„Utilisateurs dâElectrum, lisez ceci ! Toutes les versions antĂ©rieures Ă la 4.8.3 sont touchĂ©es. Une faille critique est dĂ©jĂ exploitĂ©e dans la nature, et des utilisateurs ont rĂ©ellement perdu leurs bitcoins !
Lâarnaque est particuliĂšrement sournoise : un serveur malveillant bloque dâabord votre transaction au lieu de la relayer, puis ajoute une fausse « transaction conflictuelle » Ă lâhistorique de votre portefeuille. Lâadresse de rĂ©ception est remplacĂ©e par celle du pirate, et le montant peut mĂȘme ĂȘtre nul. Il attend que vous cliquiez sur RBF pour augmenter les frais. Les anciennes versions ne vĂ©rifiaient pas la signature et affichaient simplement la transaction comme « non confirmĂ©e ». Pris de panique, vous la signez Ă nouveau pour augmenter les frais â mais vous signez en rĂ©alitĂ© la fausse transaction, et lâargent atterrit aussitĂŽt dans le portefeuille du pirate. Pire encore, les quatre derniers caractĂšres de la fausse adresse sont identiques Ă ceux de la vraie : se fier uniquement aux quatre derniers caractĂšres, câest courir droit au dĂ©sastre đ±
La version 4.8.3 corrige le problĂšme : avant dâajouter une transaction non confirmĂ©e Ă lâhistorique, elle vĂ©rifie obligatoirement que la signature correspond bien Ă un input appartenant au portefeuille (is_mine). Les fausses transactions ne peuvent donc plus sây glisser.
$ETH $BTC $SHIB
Que faire ? â TĂ©lĂ©chargez immĂ©diatement la version 4.8.3 ou ultĂ©rieure sur electrum.org et vĂ©rifiez la signature GPG avant lâinstallation. â ïž Vous ne pouvez pas mettre Ă jour ? Pas de problĂšme si vous exploitez votre propre serveur ou si vous utilisez un serveur auquel vous faites totalement confiance. Avec un serveur public, vĂ©rifiez attentivement lâadresse de rĂ©ception complĂšte et le montant, caractĂšre par caractĂšre, avant de signer une transaction (y compris pour augmenter les frais) â ne vous contentez pas des derniers caractĂšres ! đ« Ne faites pas confiance aux liens reçus en message privĂ© ; utilisez uniquement le site officiel. Toutes les versions antĂ©rieures Ă la 4.8.3 sont concernĂ©es. Le correctif a Ă©tĂ© publiĂ© le 24 octobre : ne tardez pas ! #Electrumäżźć€4.8.3ćçæŹé«ć±æŒæŽ #çŸćœäžćšć°ć ŹćžQ3GDPć9æPCE
Lâarnaque est particuliĂšrement sournoise : un serveur malveillant bloque dâabord votre transaction au lieu de la relayer, puis ajoute une fausse « transaction conflictuelle » Ă lâhistorique de votre portefeuille. Lâadresse de rĂ©ception est remplacĂ©e par celle du pirate, et le montant peut mĂȘme ĂȘtre nul. Il attend que vous cliquiez sur RBF pour augmenter les frais. Les anciennes versions ne vĂ©rifiaient pas la signature et affichaient simplement la transaction comme « non confirmĂ©e ». Pris de panique, vous la signez Ă nouveau pour augmenter les frais â mais vous signez en rĂ©alitĂ© la fausse transaction, et lâargent atterrit aussitĂŽt dans le portefeuille du pirate. Pire encore, les quatre derniers caractĂšres de la fausse adresse sont identiques Ă ceux de la vraie : se fier uniquement aux quatre derniers caractĂšres, câest courir droit au dĂ©sastre đ±
La version 4.8.3 corrige le problĂšme : avant dâajouter une transaction non confirmĂ©e Ă lâhistorique, elle vĂ©rifie obligatoirement que la signature correspond bien Ă un input appartenant au portefeuille (is_mine). Les fausses transactions ne peuvent donc plus sây glisser.
$ETH $BTC $SHIB
Que faire ? â TĂ©lĂ©chargez immĂ©diatement la version 4.8.3 ou ultĂ©rieure sur electrum.org et vĂ©rifiez la signature GPG avant lâinstallation. â ïž Vous ne pouvez pas mettre Ă jour ? Pas de problĂšme si vous exploitez votre propre serveur ou si vous utilisez un serveur auquel vous faites totalement confiance. Avec un serveur public, vĂ©rifiez attentivement lâadresse de rĂ©ception complĂšte et le montant, caractĂšre par caractĂšre, avant de signer une transaction (y compris pour augmenter les frais) â ne vous contentez pas des derniers caractĂšres ! đ« Ne faites pas confiance aux liens reçus en message privĂ© ; utilisez uniquement le site officiel. Toutes les versions antĂ©rieures Ă la 4.8.3 sont concernĂ©es. Le correctif a Ă©tĂ© publiĂ© le 24 octobre : ne tardez pas ! #Electrumäżźć€4.8.3ćçæŹé«ć±æŒæŽ #çŸćœäžćšć°ć ŹćžQ3GDPć9æPCE
