Un correctif d’Electrum corrige une faille de wallet Bitcoin liée à de faux serveurs
Electrum a publié la version 4.8.3 après une faille via des serveurs malveillants. Le bug touchait des transactions Bitcoin non confirmées et a déjà entraîné au moins un vol.
À retenir
- Electrum a corrigé une faille de sécurité qui permettait à des serveurs malveillants de tromper les utilisateurs lorsqu’ils accéléraient un paiement en Bitcoin.
- Selon les développeurs, au moins un cas est connu dans lequel des fonds ont été volés avant que le bug ne soit corrigé.
- La version 4.8.3 vérifie désormais plus strictement les signatures des transactions non confirmées ; il est conseillé aux utilisateurs de mettre à jour et de vérifier les adresses et les montants.
Electrum a corrigé une faille de sécurité dans son wallet Bitcoin après que des attaquants ont pu tromper des utilisateurs via des serveurs malveillants lors de l’accélération d’un paiement. Selon les développeurs, au moins un cas est connu dans lequel des fonds ont été volés avant que le bug ne soit corrigé.
Comment l’attaque fonctionnait
Electrum est l’un des plus anciens wallets logiciels pour Bitcoin et s’appuie sur des serveurs externes pour l’historique des transactions et l’envoi des paiements. C’est précisément cette architecture qui a rendu l’attaque possible : le wallet faisait trop confiance à ces serveurs lorsqu’il affichait des transactions encore non confirmées.
Un attaquant qui contrôlait un tel serveur pouvait intercepter un paiement avant qu’il n’apparaisse sur le réseau Bitcoin. Dans le wallet, celui-ci était alors remplacé par une fausse transaction envoyant les coins vers une adresse de l’attaquant. Comme Electrum ne vérifiait pas les signatures de ces transactions inachevées, la falsification pouvait rester longtemps inaperçue.
Risque en cas de frais plus élevés
Le danger augmentait dès que les utilisateurs voulaient accélérer leur paiement. Bitcoin prend en charge Replace-by-Fee, ce qui permet de remplacer une transaction non confirmée par une version avec des frais plus élevés. Si quelqu’un choisissait cette option dans Electrum, le wallet pouvait malgré tout signer la transaction frauduleuse et envoyer les coins à l’attaquant.
Dans un cas signalé, la fausse transaction n’avait même pas de frais, ce qui la faisait paraître bloquée. Les attaquants rendaient en outre la fraude plus difficile à repérer en choisissant des adresses de réception dont les quatre derniers caractères correspondaient à ceux de la vraie adresse.
Ce que les utilisateurs doivent savoir maintenant
Le premier signalement est arrivé le 11 octobre et concernait un wallet multisig avec deux hardware wallets Trezor. L’utilisateur a vérifié le vrai paiement sur les deux appareils, mais a ensuite vu une autre transaction sortante dans l’historique du wallet. Un deuxième utilisateur a signalé le 18 octobre avoir perdu des fonds après avoir augmenté les frais.
Electrum a publié le 24 octobre la version 4.8.3 avec des contrôles supplémentaires sur les signatures des transactions non confirmées qui déplacent des coins depuis le wallet lui-même. Les versions plus anciennes restent vulnérables tant qu’elles se connectent à des serveurs malveillants. Les développeurs recommandent aux utilisateurs de mettre à jour et de toujours vérifier les adresses de réception et les montants avant de signer quoi que ce soit. Les utilisateurs qui ne travaillent qu’avec des serveurs qu’ils jugent fiables, par exemple leur propre serveur, n’étaient pas exposés à cette attaque.
