Electrum公式が10月24日に発表したセキュリティ告知は、かなり率直な内容です。すでに実環境で悪意あるサーバーがこの手口を使ってコインを盗んでおり、2人のユーザーから報告がありました。そのうち1人は手数料を上げて取引を加速させる操作をした結果、資金をそのまま相手に送ってしまいました。
#Electrum、4.8.3より前のバージョンにある深刻な脆弱性を修正
かなり巧妙な手口です。あなたがブロードキャストしたばかりの送金をサーバーが握りつぶし、ウォレット上では、送金先アドレスが書き換えられた偽の取引に差し替えます。偽アドレスの末尾4桁は元のアドレスと同じになるよう細工され、手数料は0に設定されています。あなたが焦ってRBFで加速するのを待ち構えているのです。
加速すると、その偽取引に自分の手で再署名することになり、コインは攻撃者の手に渡ります。
4.8.3以降では、自分が送金する取引の署名を検証するようになりました。アップデートは必ずelectrum.orgからダウンロードしてください。アップデートするまでは、加速時も含め、署名するたびにアドレス全体と金額を照合してください。
個人的には、長年のユーザーほど送金時にアドレスの末尾だけを確認する習慣があるように感じます。今回は詐欺師がまさにその末尾を狙ってきました。