Разработчики криптокошелька Electrum срочно выпустили обновление 4.8.3 — оно должно исправить уязвимость, эксплуатируемую злоумышленниками для хищения активов. Суть атаки заключалась в подмене легитимных платежей мошенническими транзакциями: владельцы кошельков могли ошибочно их авторизовать, когда пытались повысить комиссию.
Electrum представляет собой биткоин-кошелёк, который для получения истории транзакций подключается к внешним серверам. Проверка транзакций осуществляется с помощью механизма верификации простого платежа (Simple Payment Verification). При отображении ожидающих транзакций кошелёк полагался на основной сервер.
Злоумышленники перехватывали транзакции через вредоносные серверы ещё до их попадания в сеть Биткоина. Они могли отключить отображение легитимной транзакции и подменить её, указав в качестве адреса получателя свой собственный адрес. Поддельные транзакции содержали недействительные подписи, однако уязвимые версии Electrum не выполняли их проверку перед тем, как отобразить транзакцию в истории кошелька.
Особенно рискованной ситуация становилась, когда пользователи пытались увеличить комиссию за транзакцию с помощью функции Replace-by-Fee (RBF). Эта функция позволяет заменить неподтверждённый платёж другим — с более высокой комиссией. Подтверждая корректировку комиссии, пользователи могли невольно подписать транзакцию, выгодную злоумышленнику.
Разработчики подтвердили два случая кражи криптоактивов. 11 октября пользователь под псевдонимом dannydeezy сообщил, что транзакция в истории Electrum не совпадает с изначально отправленным платежом. 18 октября другой анонимный пользователь, Raju-K12, уведомил разработчиков о потере средств: он пытался увеличить комиссию за транзакцию, а мошенническая транзакция при этом имела нулевую комиссию. По мнению команды Electrum, это было сделано для того, чтобы жертва сама инициировала повышение комиссии.
Уязвимость затрагивала все версии Electrum до 4.8.3. Разработчики не раскрыли сумму украденных средств, количество задействованных в атаке серверов и число пострадавших пользователей. Исправление было добавлено в версию 4.8.3 23 октября, а загружаемые бинарные файлы стали доступны 24 октября. В обновлении введена проверка подписи для неподтверждённых транзакций. При этом разработчики подчеркнули, что обновление не превращает Electrum в полный узел Биткоина: входящие неподтверждённые транзакции по‑прежнему остаются вне новых проверок подписи, а подтверждённые платежи проходят прежние процедуры верификации.
Владельцам ранних версий кошелька советуют скачать обновление с официального сайта Electrum. Тем, кто не может оперативно обновиться, стоит тщательно проверять полные адреса получателей и суммы перед тем, как подписывать транзакции — в том числе при замене комиссий. Пользователи, которые подключаются только к доверенным серверам (в том числе к собственному), этой атаке не подвержены.
Кроме того, специалисты Symantec Threat Hunter недавно обнаружили новую версию инфостилера Aoki (Aokigahara). Эта программа крадёт файлы сессий ИИ‑ассистентов, файлы cookie и данные криптокошельков. Хакеры используют украденные ключи API, чтобы получить доступ к связанным репозиториям и облачным сервисам.