Electrum lança correção contra ataque que usava aumento de taxa para roubar bitcoins
Atualização exige checagem de assinaturas em transações pendentes de saída para impedir servidores maliciosos de forçar assinaturas de falsos substitutos com taxa maior.
O cliente Electrum lançou em 24 de outubro a versão 4.8.3 com um patch direcionado e disponibilizou os binários e um advisory de segurança para bloquear servidores que exploravam o recurso Replace‑by‑Fee (RBF).
Os atacantes enviavam às carteiras falsas transações não confirmadas que usavam as mesmas entradas e imitavam os endereços de destino, de modo que o usuário via um pagamento pendente e, em seguida, aprovava um aumento de taxa (fee bump) — assinando o que na verdade era uma transação substituta maliciosa.
Desenvolvedores receberam duas comunicações privadas sobre o problema, em 11 e 18 de outubro, e ao menos um usuário relatou perda de fundos depois de assinar uma transação falsa com taxa aumentada.
A mudança na 4.8.3 faz o Electrum verificar as assinaturas de qualquer transação não confirmada que gaste moedas da carteira, rejeitando pagamentos de saída falsos. O cliente, porém, continua sem validar entradas não confirmadas de terceiros e depende de um servidor principal para dados de transações não confirmadas.
A recomendação aos usuários é atualizar apenas a partir de electrum.org e verificar a assinatura do download; checar endereços completos de destino contra as faturas originais; confirmar os detalhes na tela de dispositivos de hardware antes de assinar; e, quando possível, usar servidores Electrum de confiança ou autohospedados.