O comunicado oficial de segurança da Electrum, publicado em 24 de outubro, foi bem direto: servidores maliciosos já estão usando esse método para roubar moedas em situações reais. Dois usuários relataram o ocorrido; um deles clicou para acelerar a transação e acabou pagando diretamente ao invasor.
#Electrum corrige vulnerabilidade grave nas versões anteriores à 4.8.3
O método é bem ardiloso: a transação que você acabou de transmitir é interceptada pelo servidor e substituída na carteira por uma transação falsa, com o endereço de recebimento alterado. Os quatro últimos caracteres do endereço falso são escolhidos de propósito para coincidir com os do endereço original, e a taxa é definida como zero, esperando que você fique com pressa e clique para acelerar via RBF.
Quando você acelera, acaba assinando novamente essa transação falsa com as próprias mãos, e as moedas vão parar nas mãos do invasor.
A partir da versão 4.8.3, a assinatura das transações enviadas pela própria carteira é validada. Lembre-se de baixar a atualização somente em electrum.org; até atualizar, confira sempre o endereço completo e o valor antes de cada assinatura, inclusive ao acelerar uma transação.
Na minha experiência, muitos usuários antigos têm o hábito de conferir apenas os últimos caracteres do endereço ao fazer uma transferência. Desta vez, os golpistas aproveitaram justamente isso.
#Electrum corrige vulnerabilidade grave nas versões anteriores à 4.8.3
O método é bem ardiloso: a transação que você acabou de transmitir é interceptada pelo servidor e substituída na carteira por uma transação falsa, com o endereço de recebimento alterado. Os quatro últimos caracteres do endereço falso são escolhidos de propósito para coincidir com os do endereço original, e a taxa é definida como zero, esperando que você fique com pressa e clique para acelerar via RBF.
Quando você acelera, acaba assinando novamente essa transação falsa com as próprias mãos, e as moedas vão parar nas mãos do invasor.
A partir da versão 4.8.3, a assinatura das transações enviadas pela própria carteira é validada. Lembre-se de baixar a atualização somente em electrum.org; até atualizar, confira sempre o endereço completo e o valor antes de cada assinatura, inclusive ao acelerar uma transação.
Na minha experiência, muitos usuários antigos têm o hábito de conferir apenas os últimos caracteres do endereço ao fazer uma transferência. Desta vez, os golpistas aproveitaram justamente isso.