Au moins un utilisateur de Bitcoin a perdu des fonds après qu’un serveur Electrum malveillant a remplacé une transaction légitime en attente par une fausse transaction, puis a incité l’utilisateur à approuver son remplacement avec des frais plus élevés. L’attaque a exploité Replace-by-Fee, qui permet aux utilisateurs d’accélérer les paiements Bitcoin non confirmés. Electrum a publié la version 4.8.3 le 24 octobre pour corriger la faille.
Pourquoi c’est important
Electrum s’appuie sur des serveurs externes pour récupérer l’historique des transactions et diffuser les paiements. Avant le correctif, le portefeuille ne vérifiait pas les signatures de certaines transactions non confirmées signalées par ces serveurs. Un serveur contrôlé par un attaquant pouvait remplacer un paiement légitime par une fausse transaction dirigeant les fonds vers une adresse contrôlée par l’attaquant.
La fausse transaction pouvait sembler bloquée, notamment lorsqu’elle ne comportait aucun frais. Lorsque l’utilisateur sélectionnait Replace-by-Fee, Electrum pouvait signer un remplacement valide de la transaction frauduleuse, finalisant ainsi le vol. Dans un cas signalé, les attaquants ont également généré une adresse de réception dont les quatre derniers caractères correspondaient à ceux de la destination légitime, ce qui rendait la substitution moins susceptible d’être repérée lors d’une vérification rapide.
Impact sur le marché
Cet incident constitue un risque direct pour la sécurité des portefeuilles, et non une modification du protocole sous-jacent de Bitcoin. Les utilisateurs des anciennes versions d’Electrum doivent mettre à jour vers 4.8.3 et vérifier les adresses de paiement et les montants avant de signer des transactions, en particulier lorsqu’ils augmentent les frais d’un paiement non confirmé.
L’attaque signalée nécessitait une connexion à un serveur malveillant. Les utilisateurs d’Electrum connectés uniquement à des serveurs de confiance, y compris les leurs, n’étaient pas exposés à cette faille spécifique. Les développeurs ont reçu deux signalements en octobre, et le montant volé ainsi que l’identité des serveurs malveillants n’ont pas été divulgués.
Questions fréquemment posées
-
Comment la faille d’Electrum a-t-elle permis le vol ?
Un serveur malveillant pouvait remplacer une transaction Bitcoin légitime en attente par une fausse transaction dirigeant les fonds vers un attaquant. Si l’utilisateur augmentait ensuite les frais, Electrum pouvait signer un remplacement valide de cette transaction frauduleuse.
-
Quelle version d’Electrum corrige la faille ?
La version 4.8.3 d’Electrum ajoute des contrôles de signature pour les transactions non confirmées concernées et a été publiée le 24 octobre.
-
Tous les utilisateurs d’Electrum étaient-ils exposés à l’attaque ?
Non. L’attaque signalée nécessitait une connexion à un serveur malveillant. Les utilisateurs connectés uniquement à des serveurs de confiance, y compris les leurs, n’étaient pas exposés à cette faille spécifique.
-
Pourquoi Replace-by-Fee a-t-il rendu l’attaque possible ?
Replace-by-Fee permet d’accélérer les paiements Bitcoin non confirmés en signant un remplacement aux frais plus élevés. Dans les versions vulnérables, cette action pouvait transformer la fausse transaction en attente du serveur en un paiement valide au profit de l’attaquant.
-
Que doivent faire les utilisateurs d’Electrum après la publication de la faille ?
Les utilisateurs doivent mettre à jour vers la version 4.8.3, utiliser des serveurs de confiance et vérifier attentivement l’adresse de réception complète et le montant du paiement avant de signer ou d’augmenter les frais d’une transaction.
TheBlock
WuBlockchain
WatcherGuru
Lookonchain
CoinTelegraph
CryptoSlate