Bug in Bitcoin-wallet stelde Electrum-gebruikers bloot aan diefstal
Door een bug in de Bitcoin-wallet Electrum konden kwaadwillende servers in behandeling zijnde betalingen vervangen door valse transacties. Gebruikers die zulke betalingen met Replace-by-Fee (RBF) probeerden te versnellen, konden ongemerkt een geldige transactie ondertekenen waarmee hun bitcoin naar een aanvaller werd gestuurd. Electrum heeft minstens één diefstal bevestigd; het bedrag en de betrokken servers zijn niet bekendgemaakt.
De kwetsbaarheid zat in de manier waarop Electrum niet-bevestigde transacties controleerde die door externe servers werden aangeleverd. Aanvallers konden een frauduleuze betaling laten lijken alsof die nog in behandeling was. In één gemeld geval gebruikten ze een ontvangstadres waarvan de laatste vier tekens overeenkwamen met die van het bedoelde adres. Op 24 oktober bracht Electrum versie 4.8.3 uit, met controles op handtekeningen. Eerdere versies kunnen kwetsbaar blijven wanneer ze verbinding maken met kwaadwillende servers.
Gebruikers moeten Electrum bijwerken en vóór het ondertekenen de betalingsadressen en bedragen controleren. De ontwikkelaars verklaarden dat gebruikers die uitsluitend verbonden waren met vertrouwde servers, waaronder hun eigen servers, geen risico liepen. Deze bug in de Bitcoin-wallet vormt een beveiligingsrisico voor gebruikers van de getroffen wallets, maar is geen bewijs van een fout in het Bitcoin-netwerk of de consensusregels ervan.
Neutral
De kwetsbaarheid in Electrum is een ernstig operationeel beveiligingsprobleem voor gebruikers van de getroffen wallets, maar het artikel wijst niet op een zwakke plek in het Bitcoin-protocol, de consensusregels of de afwikkeling op het netwerk. De bevestigde diefstal kan getroffen gebruikers ertoe aanzetten hun software bij te werken, transacties zorgvuldiger te controleren en opnieuw te beoordelen welke Electrum-servers ze vertrouwen. Dat kan op korte termijn zorgen baren over de beveiliging van wallets, maar het directe effect op de handel in BTC, de liquiditeit en de marktstabiliteit is waarschijnlijk beperkt.
Beveiligingsincidenten bij wallets en beurzen hebben in het verleden soms kortstondige risicoaversie veroorzaakt, vooral wanneer de verliezen groot waren of het incident twijfels opriep over de bewaring van activa in de bredere markt. In dit geval is het gemelde verliesbedrag onbekend en houdt de kwetsbaarheid verband met de manier waarop Electrum onbevestigde transacties via kwaadwillende servers verwerkt. Electrum heeft versie 4.8.3 uitgebracht met aanvullende handtekeningcontroles. Gebruikers die uitsluitend met vertrouwde servers verbonden waren, liepen geen risico, wat de bredere impact kan helpen beperken.
Handelaren moeten het risico van de walletaanbieder onderscheiden van het risico van het Bitcoin-netwerk. Het sentiment op korte termijn kan verzwakken als er meer diefstallen of getroffen gebruikers worden gemeld. Op langere termijn kan het incident de vraag naar software-updates, verificatie met hardwarewallets en het gebruik van vertrouwde of zelf beheerde servers versterken, maar op zichzelf geeft het geen duidelijk signaal over de richting van de BTC-prijzen.