Electrum-Patch folgt auf Bitcoin-Wallet-Lücke mit Fake-Servern
Electrum hat Version 4.8.3 nach einer Lücke über bösartige Server veröffentlicht. Der Fehler betraf unbestätigte Bitcoin-Transaktionen und führte bereits zu mindestens einem Diebstahl.
Wichtigste Erkenntnisse
- Electrum hat eine Sicherheitslücke geschlossen, mit der bösartige Server Nutzer beim Beschleunigen einer Bitcoin-Zahlung täuschen konnten.
- Laut den Entwicklern ist mindestens ein Fall bekannt, in dem Geld gestohlen wurde, bevor der Fehler behoben wurde.
- Version 4.8.3 prüft nun zusätzlich die Signaturen unbestätigter Transaktionen; Nutzern wird geraten, zu aktualisieren und Adressen sowie Beträge zu kontrollieren.
Electrum hat eine Sicherheitslücke in seiner Bitcoin Wallet geschlossen, nachdem Angreifer Nutzer über bösartige Server beim Beschleunigen einer Zahlung täuschen konnten. Laut den Entwicklern ist mindestens ein Fall bekannt, in dem Geld gestohlen wurde, bevor der Fehler behoben wurde.
Wie der Angriff funktionierte
Electrum ist eine der ältesten Software-Wallets für Bitcoin und verlässt sich für die Transaktionshistorie und das Senden von Zahlungen auf externe Server. Genau dieser Aufbau machte den Angriff möglich: Die Wallet vertraute diesen Servern bei der Anzeige noch nicht bestätigter Transaktionen zu sehr.
Ein Angreifer, der so einen Server kontrollierte, konnte eine Zahlung abfangen, bevor sie im Bitcoin-Netzwerk erschien. In der Wallet wurde sie dann durch eine Fake-Transaktion ersetzt, die die Coins an eine Adresse des Angreifers schickte. Weil Electrum die Signaturen dieser unvollendeten Transaktionen nicht prüfte, konnte der Betrug lange unbemerkt bleiben.
Risiko bei höheren Fees
Die Gefahr wurde größer, sobald Nutzer ihre Zahlung beschleunigen wollten. Bitcoin unterstützt Replace-by-Fee, wobei eine noch nicht bestätigte Transaktion durch eine Version mit höherer Fee ersetzt werden kann. Wenn jemand in Electrum diese Option wählte, konnte die Wallet die betrügerische Transaktion dennoch signieren und die Coins an den Angreifer senden.
In einem gemeldeten Fall hatte die Fake-Transaktion sogar keine Fee, wodurch sie festzustecken schien. Angreifer machten es außerdem schwerer, den Betrug zu erkennen, indem sie Empfangsadressen wählten, deren letzte vier Zeichen mit der echten Adresse übereinstimmten.
Was Nutzer jetzt wissen müssen
Die erste Meldung ging am 11. Oktober ein und betraf eine Multisig-Wallet mit zwei Trezor-Hardware-Wallets. Der Nutzer überprüfte die echte Zahlung auf beiden Geräten, sah später aber eine andere ausgehende Transaktion in der Wallet-Historie. Ein zweiter Nutzer meldete am 18. Oktober, dass er nach der Erhöhung der Fee Geld verloren hatte.
Electrum veröffentlichte am 24. Oktober Version 4.8.3 mit zusätzlichen Prüfungen für Signaturen unbestätigter Transaktionen, die Coins aus der eigenen Wallet verschieben. Ältere Versionen bleiben verwundbar, solange sie sich mit bösartigen Servern verbinden. Die Entwickler raten Nutzern, zu aktualisieren und immer Empfangsadressen sowie Beträge zu prüfen, bevor sie etwas signieren. Nutzer, die nur mit Servern arbeiten, denen sie vertrauen, etwa ihrem eigenen Server, waren von diesem Angriff nicht betroffen.
