Un bug nel wallet Bitcoin ha esposto gli utenti di Electrum ai furti
Un bug nel wallet Bitcoin Electrum consentiva a server malevoli di sostituire i pagamenti in sospeso con transazioni false. Gli utenti che cercavano di accelerare quei pagamenti usando Replace-by-Fee (RBF) potevano firmare inconsapevolmente una transazione valida che inviava i loro bitcoin a un aggressore. Electrum ha confermato almeno un furto; l’importo e i server coinvolti non sono stati resi noti.
Il difetto riguardava il modo in cui Electrum verificava le transazioni non confermate fornite da server esterni. Gli aggressori potevano far apparire in sospeso un pagamento fraudolento e, in un caso segnalato, hanno usato un indirizzo di ricezione con gli stessi ultimi quattro caratteri dell’indirizzo previsto. Il 24 ottobre Electrum ha rilasciato la versione 4.8.3, aggiungendo controlli sulle firme. Le versioni precedenti potrebbero restare vulnerabili quando si collegano a server malevoli.
Gli utenti dovrebbero aggiornare Electrum e verificare gli indirizzi di pagamento e gli importi prima di firmare. Gli sviluppatori hanno dichiarato che gli utenti collegati esclusivamente a server fidati, compresi i propri, non erano esposti. Il bug del wallet Bitcoin rappresenta un rischio per la sicurezza degli utenti interessati, ma non è una prova di un difetto nella rete Bitcoin o nelle sue regole di consenso.
Neutral
La vulnerabilità di Electrum rappresenta un grave problema di sicurezza operativa per gli utenti dei wallet interessati, ma l’articolo non indica una debolezza nel protocollo Bitcoin, nelle sue regole di consenso o nel regolamento sulla rete. Il furto confermato potrebbe spingere gli utenti interessati ad aggiornare il software, a controllare le transazioni con maggiore attenzione e a riconsiderare quali server Electrum ritengono affidabili. Ciò potrebbe generare preoccupazione nel breve periodo per la sicurezza dei wallet, ma è probabile che l’effetto diretto sul trading di BTC, sulla liquidità e sulla stabilità del mercato sia limitato.
In passato, alcuni incidenti di sicurezza che hanno coinvolto wallet ed exchange hanno talvolta innescato brevi reazioni di avversione al rischio, soprattutto quando le perdite erano ingenti o l’incidente sollevava dubbi sulla custodia nell’intero mercato. In questo caso, l’entità delle perdite segnalate è sconosciuta e il difetto riguarda il modo in cui Electrum gestisce le transazioni non confermate tramite server malevoli. Electrum ha rilasciato la versione 4.8.3 con controlli aggiuntivi delle firme, mentre gli utenti connessi esclusivamente a server affidabili non sono stati esposti; ciò potrebbe contribuire a contenere l’impatto complessivo.
I trader dovrebbero distinguere il rischio legato al fornitore del wallet da quello della rete Bitcoin. Il sentiment nel breve periodo potrebbe indebolirsi se venissero segnalati altri furti o altri utenti coinvolti. Nel lungo periodo, l’incidente potrebbe rafforzare la domanda di aggiornamenti software, verifiche tramite hardware wallet e server affidabili o gestiti autonomamente, ma da solo non fornisce un chiaro segnale direzionale per i prezzi di BTC.