Un bug dans le portefeuille Bitcoin a exposé les utilisateurs d’Electrum au risque de vol
Un bug du portefeuille Bitcoin Electrum permettait à des serveurs malveillants de remplacer des paiements en attente par de fausses transactions. Les utilisateurs qui tentaient d’accélérer ces paiements avec Replace-by-Fee (RBF) pouvaient, sans le savoir, signer une transaction valide qui envoyait leurs bitcoins à un attaquant. Electrum a confirmé au moins un vol ; le montant et les serveurs concernés n’ont pas été divulgués.
La faille concernait la manière dont Electrum vérifiait les transactions non confirmées fournies par des serveurs externes. Les attaquants pouvaient faire passer un paiement frauduleux pour un paiement en attente et, dans un cas signalé, ont utilisé une adresse de réception dont les quatre derniers caractères étaient identiques à ceux de l’adresse prévue. Electrum a publié la version 4.8.3 le 24 octobre, en y ajoutant des contrôles de signature. Les versions antérieures peuvent rester vulnérables lorsqu’elles sont connectées à des serveurs malveillants.
Les utilisateurs doivent mettre Electrum à jour et vérifier les adresses et les montants des paiements avant de signer. Les développeurs ont indiqué que les utilisateurs connectés uniquement à des serveurs de confiance, y compris les leurs, n’étaient pas exposés. Le bug du portefeuille Bitcoin constitue un risque de sécurité pour les utilisateurs du portefeuille concerné, mais ne prouve pas l’existence d’une faille dans le réseau Bitcoin ou ses règles de consensus.
Neutral
La vulnérabilité d’Electrum constitue un grave problème de sécurité opérationnelle pour les utilisateurs des portefeuilles concernés, mais l’article ne signale aucune faiblesse du protocole Bitcoin, de ses règles de consensus ou du règlement des transactions sur le réseau. Le vol confirmé pourrait inciter les utilisateurs concernés à effectuer une mise à jour, à vérifier les transactions plus attentivement et à reconsidérer les serveurs Electrum auxquels ils font confiance. Cela pourrait susciter des inquiétudes à court terme concernant la sécurité des portefeuilles, mais l’effet direct sur les échanges de BTC, la liquidité et la stabilité du marché devrait être limité.
Par le passé, des incidents de sécurité touchant des portefeuilles et des plateformes d’échange ont parfois provoqué de brèves réactions d’aversion au risque, surtout lorsque les pertes étaient importantes ou que l’incident faisait douter de la conservation des actifs à l’échelle du marché. Ici, le montant des pertes signalées est inconnu, et la faille concerne le traitement par Electrum des transactions non confirmées via des serveurs malveillants. Electrum a publié la version 4.8.3, qui ajoute des vérifications de signature. Les utilisateurs connectés uniquement à des serveurs de confiance n’étaient pas exposés, ce qui pourrait contribuer à limiter les répercussions plus larges.
Les traders devraient distinguer le risque lié au fournisseur de portefeuille du risque lié au réseau Bitcoin. Le sentiment à court terme pourrait s’affaiblir si d’autres vols ou utilisateurs touchés étaient signalés. À plus long terme, l’incident pourrait renforcer la demande de mises à jour logicielles, de vérification au moyen de portefeuilles matériels et de serveurs de confiance ou exploités par les utilisateurs eux-mêmes. À lui seul, toutefois, il ne donne aucun signal directionnel clair pour le cours du BTC.