#electrum钱包漏洞致资金被盗

Electrumウォレットはまたしても、生々しい事実で「自己管理」という体裁のよい看板を引き剥がした。悪用可能な深刻な脆弱性により、悪意あるサーバーはユーザーがブロードキャストしたばかりの取引を横取りし、攻撃者のアドレス宛ての「偽の保留中取引」に差し替えたうえで、ユーザー自らが致命的なボタン――手数料の引き上げ――を押すのを静かに待つことができる。RBFは本来、ビットコインの通常機能だ。だが今や、署名を使って金を送らせる拷問器具と化した。秘密鍵は漏れていない。シードフレーズも盗まれていない。ユーザーはごく普通の操作をしただけで、資金を失った。Electrum公式は少なくとも2件の報告を確認しているが、1人が被害に遭い、金額は明らかにされていない。

Electrumがユーザーの損失をもって市場に教訓を与えるのは、これが初めてではない。2019年から2020年にかけて、偽のアップデート通知を使ったフィッシング攻撃がElectrumのエコシステムを席巻し、合計2,200万ドル超、1,980ビットコインが盗まれた。そのうちの1人はウォレットをアップデートした後、一度に1,400ビットコインを失った。当時の価値で約1,580万ドルに相当する。フィッシング通知からRBFの乗っ取りへと、攻撃の手口は変わっても、根底にある筋書きは何ひとつ変わっていない。軽量ウォレットであるElectrumは、未確認取引の「解釈する権限」を外部サーバーに委ねている。そして、誰でもElectrumサーバーを立ち上げられる。あなたが信頼しているのは数学ではない。見知らぬ誰かの誠実さだ。

「秘密鍵を掌握すれば、すべてを掌握できる」という言葉は、何度も繰り返されすぎた麻酔薬だ。Electrumの脆弱性の歴史は、冷酷な事実を突きつけている。秘密鍵が自分のデバイスにあることは、取引の最終的な送金先まで自分で掌握していることを意味しない。ウォレットの画面に表示される「承認待ち取引」ですらサーバーが一方的に改ざんでき、旧バージョンでは署名の検証すらせずにユーザーの資産として表示していた。自己管理という神話は、画面とブロックチェーンの間にあるあの隙間で、跡形もなく砕け散ったのだ。取引所の破綻を警戒し、フィッシングサイトを避けても、ウォレット自身が差し出す「加速」という名の刃に倒れるかもしれない。
4.8.3へのアップグレードは必須だ。だが、アップグレードしても根本的な問いは解決しない。ウォレットに表示されたその取引が、本当に自分が署名した取引なのか、あなたはいつから真剣に疑わなくなったのだろう？ 次に手数料が滞ったとき、何のためらいもなくもう一度「加速」を押すのだろうか――そして、自分が誰の取引に署名しているのか、本当に分かっているのだろうか？