ウォレットからコインが消えたんじゃない
自分の手で消したんだ
10月24日、Electrumが4.8.3をリリース
すでに実際に悪用されていた高危険度の脆弱性を修正した
4.8.3より前の全バージョンが影響を受ける
手口は複雑ではないが、細部が悪質
悪意あるサーバーは、あなたがブロードキャストしたばかりの取引をまず差し止める
次に、ウォレットの履歴へ競合する取引を紛れ込ませる
送金先アドレスは攻撃者自身のものにすり替えられている
その偽の取引は、署名自体が無効
旧バージョンは署名を検証せず、未確認としてそのまま表示してしまう
手数料が低いから早く処理したいと思い
RBFで手数料を上げると
ウォレットがその偽の取引に署名してしまう
資金はそのまま攻撃者に送られる
ユーザーから報告された2件のうち、1人は実際にコインを失った
金額は公表されていない
さらに悪質なのは、アドレスの末尾4桁
攻撃者は、あなたが本来送金しようとしていたアドレスと末尾4桁が完全に同じになるよう細工していた
末尾4桁だけ見ても、まったく気づけない
信頼できる自分のサーバーにだけ接続しているユーザーは影響を受けない
4.8.3では、署名を検証してから履歴に追加するようになった
公式のメッセージは一言、「今すぐアップデートを」
アップデートするまでは、署名するたびにアドレス全体と金額を確認して
末尾4桁だけ見ないこと
前回の出金時、アドレスは全桁確認した？ それとも末尾だけちらっと見た？

#Electrum漏洞 $BTC