悪意のあるElectrumサーバーは、ユーザーがビットコインの送金をブロードキャストした直後に、その送金を、見た目が似たアドレスに支払う手数料ゼロの偽の取引に差し替えました。

サーバー側は、被害者が手数料を引き上げて偽の取引に署名すると見込んでいたようです。

Electrumは深刻度の高い脆弱性に対処するため、10月24日にバージョン4.8.3をリリースしました。メンテナーのSomberNightは同日、アドバイザリーGHSA-6jp4-8v48-cc5vを公開し、ユーザーにアップグレードを呼びかけました。

偽造されたアドレスは、正規の送金先と同じ「GyQ3」で終わっていた

Electrumは軽量クライアントです。完全なビットコインノードを備えておらず、未確認のメンプール取引についてはサーバーに依存しています。仕組みについては、公式ドキュメントで説明されています。

誰かがtx1に署名して送信する。悪意あるサーバーがそれを止め、送金先を攻撃者のアドレスにした別のtx2をウォレットに送る。

tx2の署名は無効だ。古いElectrumはメンプール上のトランザクションの署名を検証しなかったため、ウォレットはtx2を保留中として表示し、tx1を隠してしまった。

Replace-By-Fee（RBF）は、未確認トランザクションを手数料を上げて再送することを可能にする。偽のトランザクションの手数料が引き上げられると、ウォレットは有効な署名で攻撃者のバージョンに署名してしまう。

標的の1人であるdannydeezyが、この攻撃について記録を残した。Trezorを2台使った2-of-3の旧式P2SHマルチシグで、入力は31個、出力は1つだった。

ユーザーは両方のTrezorで出力を確認してからブロードキャストした。その後、ウォレットの履歴には全額が未確認のまま見知らぬアドレスに送金されたと表示され、後にその項目は「ローカル」に変わった。

偽のトランザクションは、本物のトランザクションの入力、バージョン、ロックタイムを複製し、31個すべての入力でscriptSigもバイト単位で完全に一致していた。

62個すべての署名は、本物のトランザクションに対しては有効だった。偽のトランザクションに対して有効な署名は1つもなかった。

ほとんどの額はよく似たアドレスに送られ、少額だけがウォレットで使用済みの自身のアドレスの1つに戻された。

偽のアドレスの末尾はGyQ3だった。本物の送金先も同じ末尾だった。

攻撃者は、正しいアドレスと末尾4文字が一致するアドレスを見つけていた。

Electrumのセキュリティ勧告に掲載されたuser1によるインシデント報告。2026年10月24日にGitHubで公開。

ZachXBTも、Phantomウォレットのユーザーに影響する同様のアドレス汚染詐欺を指摘している。偽装アドレスは、先頭と末尾の文字をざっと確認しただけでは見抜けないように作られている。

バージョン4.8.3は、ウォレットが所有する入力の署名のみを検証

別のユーザー、Raju-K12は10月18日、偽のトランザクションの手数料を引き上げて損失を被ったと、非公開で報告した。一部のサーバーでは、この攻撃が実際に行われていると開発者らは述べている。

コミット90fe308では、メンプールのトランザクションをローカル履歴に追加する前に、ウォレットが所有する「is_mine」入力の署名を確認する処理が追加された。バージョン4.8.3は10月23日にGitタグが付けられ、翌日にバイナリがリリースされた。

Electrumが確認するのは、引き続きウォレットが管理する入力のみだ。そのため、未確認の入金トランザクションはチェックされない。

これは、クライアントに完全なスクリプトインタープリターがないためだ。

アップグレードできない人向けにElectrumが推奨する回避策は、手数料の引き上げを含め、何かに署名する前に出力先アドレスと金額を確認することだ。自分のサーバーにだけ接続していたユーザーは、影響を受けなかった。

Electrumは過去にも緊急修正をリリースしている。2018年1月には、約2年間にわたって開放状態だったJSON RPCインターフェースを停止した。Googleの研究者Tavis Ormandyが、ウェブサイトからポートを検出して資金を引き出せる可能性を発見したことを受けた対応だった。

Cryptopolitanによると、Coldcardのシード生成バグに関する警告が出たのは7月で、その同じ日に約500個のウォレットから約594 BTC（約3,800万ドル）が流出した。

これを読んでいるあなたは、すでに一歩先を行っています。この先も、ニュースレターで最新情報をチェックしましょう。