Electrum merilis versi 4.8.3 pada 24 Oktober setelah mengungkap celah keamanan berisiko tinggi yang dieksploitasi oleh server jahat di dunia nyata untuk mengganti transaksi Bitcoin dan berpotensi mengalihkan dana. Dompet tersebut menyatakan bahwa versi sebelum 4.8.3 terdampak dan pihaknya telah menerima dua laporan dari pengguna, termasuk satu kasus ketika seorang pengguna kehilangan dana setelah menaikkan biaya transaksi yang telah diganti.

Electrum 4.8.3 memperbaiki validasi tanda tangan riwayat transaksi

Menurut imbauan keamanan proyek tersebut, Electrum versi 4.8.3 memverifikasi tanda tangan pada transaksi yang belum dikonfirmasi dan menggunakan koin yang dikendalikan oleh dompet sebelum menambahkannya ke riwayat transaksi lokal.

Electrum mengklasifikasikan kerentanan ini sebagai berkeparahan tinggi dan menyatakan bahwa versi sebelum 4.8.3 terdampak. Perbaikan ini dirancang untuk mencegah server memasukkan transaksi yang tidak valid dan bertentangan ke dalam riwayat transaksi dompet pada tahap kritis alur pembayaran.

Server nakal menyisipkan pembayaran yang bertentangan sebelum kenaikan biaya RBF

Serangan ini mengandalkan server Electrum berbahaya saat pengguna mencoba menaikkan biaya transaksi yang baru saja disiarkan melalui replace-by-fee, atau RBF. Electrum mengatakan bahwa server tersebut dapat mengganti pembayaran yang baru disiarkan dengan transaksi lain yang bertentangan dan membayar penyerang.

Pengguna kemudian dapat diminta untuk menandatangani kenaikan biaya RBF untuk transaksi pengganti tersebut, bukan untuk pembayaran awal. Akibatnya, tindakan menaikkan biaya menjadi titik ketika transaksi yang diarahkan kepada penyerang dapat memperoleh tanda tangan pengguna.

RBF umumnya digunakan untuk mempercepat transaksi Bitcoin yang belum dikonfirmasi dengan menggantinya menggunakan versi yang memiliki biaya lebih tinggi. Kerentanan yang dilaporkan berkaitan dengan cara versi Electrum yang terdampak memproses informasi transaksi dari servernya sebelum pengguna menandatangani penggantinya.

Electrum mengonfirmasi serangan di dunia nyata dan adanya laporan kerugian

Server berbahaya melancarkan serangan ini di dunia nyata, menurut Electrum pada 24 Oktober. Proyek tersebut melaporkan dua keluhan pengguna, termasuk satu kasus ketika seorang pengguna kehilangan dana setelah menaikkan biaya pada transaksi yang telah diganti.

Pengguna versi sebelum 4.8.3 disebutkan dalam imbauan keamanan Electrum. Langkah segera yang dijelaskan dalam laporan tersebut adalah memperbarui versi yang lebih lama.

Laporan CoinDesk pada 26 Oktober menyebutkan bahwa setidaknya satu pengguna telah kehilangan bitcoin dan mengimbau pengguna untuk memeriksa alamat penerima serta jumlah pembayaran sebelum menandatangani transaksi.

Penafian: Artikel ini disediakan hanya untuk tujuan informasi. Artikel ini bukan merupakan dan tidak dimaksudkan untuk digunakan sebagai nasihat hukum, perpajakan, investasi, keuangan, atau nasihat lainnya.