Community Trust ScoreVérifié
Les développeurs d’Electrum ont publié un avis de sécurité samedi détaillant une vulnérabilité qui permettait à des serveurs malveillants d’insérer de faux paiements en attente dans l’historique des transactions des utilisateurs, une faille qui a entraîné au moins une perte de fonds confirmée.
Le portefeuille, l’un des clients logiciels les plus anciens de Bitcoin, a publié la version 4.8.3 le 24 octobre pour résoudre ce problème. La mise à jour ajoute des vérifications de signature pour les transactions non confirmées qui dépensent des pièces du portefeuille de l’utilisateur, comblant la lacune qui permettait aux attaquants de manipuler les données de transaction avant la confirmation.
Fonctionnement de l’attaque basée sur les serveurs
Contrairement à un nœud Bitcoin complet, Electrum s’appuie sur des serveurs externes pour fournir les historiques de transactions et relayer les paiements. Avant le correctif, le logiciel acceptait les rapports de ces serveurs sur les transactions en attente sans vérifier leurs signatures cryptographiques. Cette dépendance a créé une ouverture pour les attaquants contrôlant ces serveurs afin d’intercepter les paiements avant qu’ils n’atteignent le réseau Bitcoin.
Selon l’avis, un attaquant pouvait échanger un paiement légitime dans l’historique du portefeuille contre une transaction contrefaite envoyant les pièces de l’utilisateur vers une adresse contrôlée par l’attaquant. Ces transactions contrefaites portaient des signatures invalides, que la version vulnérable d’Electrum n’a pas réussi à détecter. Le portefeuille affichait la fausse transaction comme un paiement en attente, laissant l’utilisateur ignorer que le paiement d’origine avait été remplacé.
Le mécanisme de vol s’appuyait sur la fonctionnalité Replace-by-Fee (RBF), qui permet aux expéditeurs de remplacer un paiement non confirmé par une version avec des frais plus élevés pour accélérer le traitement. Lorsqu’un utilisateur tentait d’utiliser RBF pour accélérer la transaction fausse bloquée, Electrum signait une transaction de remplacement valide. Cette action a effectivement livré les pièces de l’utilisateur à l’adresse du voleur, complétant la fraude.
Chronologie des signalements et impact sur les utilisateurs
Les développeurs ont reçu deux signalements concernant la vulnérabilité au cours du mois d’octobre. Le premier signalement est arrivé le 11 octobre d’un utilisateur exploitant un portefeuille multisignature deux sur trois sécurisé par deux appareils matériels Trezor. Cet utilisateur avait vérifié le paiement authentique sur les deux appareils, mais a ensuite découvert une transaction sortante inconnue dans son historique de portefeuille. Aucune perte financière n’a été signalée dans ce premier cas.
Un deuxième utilisateur a signalé le 18 octobre qu’il avait augmenté les frais sur une transaction substituée et avait ensuite perdu des fonds. Les développeurs n’ont pas divulgué le montant volé ni identifié les serveurs spécifiques impliqués dans les attaques. Le correctif de la version 4.8.3 est arrivé six jours après ce deuxième signalement impliquant des fonds volés.
Les détails des signalements suggèrent une opération délibérée de la part des attaquants. Dans un cas, la transaction insérée ne contenait aucun frais, ce qui la faisait apparaître bloquée pour inciter l’utilisateur à augmenter les frais. De plus, les attaquants ont généré des adresses de réception dont les quatre derniers caractères correspondaient à la destination légitime, rendant l’échange difficile à repérer lors d’une vérification visuelle rapide.
Les utilisateurs qui se sont connectés uniquement à des serveurs de confiance, y compris des serveurs qu’ils exploitaient eux-mêmes, n’ont pas été exposés à l’attaque. Les anciennes versions du logiciel restent vulnérables lorsqu’elles sont connectées à un serveur malveillant. Les développeurs conseillent à tous les utilisateurs de mettre à niveau vers la dernière version et de vérifier l’adresse de réception complète et le montant avant de signer tout paiement, y compris les augmentations de frais, pour atténuer le risque d’adresses similaires.
Questions Fréquentes
Quelle version d’Electrum corrige la faille d’échange de transactions basée sur les serveurs ?
La version 4.8.3 d’Electrum, publiée le 24 octobre, corrige la vulnérabilité en ajoutant des vérifications de signature pour les transactions non confirmées qui dépensent des pièces du portefeuille de l’utilisateur.
Les utilisateurs connectés à leurs propres serveurs ont-ils été affectés par la faille d’Electrum ?
Non, les utilisateurs qui se sont connectés uniquement à des serveurs de confiance, y compris des serveurs qu’ils exploitaient eux-mêmes, n’ont pas été exposés à l’attaque décrite dans l’avis.
