Electrum a confirmé qu'au moins un vol de Bitcoin résultait d'un bug de portefeuille permettant à des serveurs malveillants de modifier des paiements en attente, selon un avis de sécurité publié par les développeurs. Des attaquants ont exploité la faille pour détourner des fonds lorsque des utilisateurs tentaient d'augmenter les frais de transaction via la fonctionnalité Replace-by-Fee de Bitcoin. L'équipe a publié un correctif, la version 4.8.3, le 24 octobre 2026.

La divulgation a fait suite à deux rapports privés reçus ce mois-ci. Electrum s'appuie sur des serveurs pour les registres de transactions et la diffusion, une conception qui allège le portefeuille mais rend l'historique affiché aussi fiable que le serveur répondant à chaque requête — une architecture qui a offert aux attaquants une fenêtre d'intervention avant que les paiements n'atteignent le réseau Bitcoin.

Fonctionnement du bug

Un serveur contrôlé par un attaquant pouvait retenir un paiement Bitcoin valide et présenter à sa place une transaction en attente différente. Le registre frauduleux indiquait l'adresse de l'attaquant comme destinataire. Les versions antérieures d'Electrum ne vérifiaient pas la signature d'un tel registre avant de l'afficher dans l'historique du portefeuille. La vérification de signature est l'étape qui lie un paiement affiché aux clés propres du portefeuille ; son omission laissait donc l'historique affiché à la merci de ce que fournissait le serveur, indépendamment de ce que le portefeuille avait réellement produit.

Un utilisateur qui sélectionnait ensuite Replace-by-Fee, un mécanisme Bitcoin permettant de renvoyer un paiement en attente avec des frais plus élevés, pouvait amener Electrum à signer le paiement substitué, le rendant ainsi valide. Contrairement à une récente fuite de données clients du portefeuille matériel Keystone, cette attaque trompait les utilisateurs pour qu'ils approuvent des détails de paiement modifiés.

Deux rapports ont conduit au correctif

Le premier rapport est arrivé le 11 octobre d'un utilisateur exploitant un portefeuille multisignature deux-sur-trois avec deux appareils Trezor. L'utilisateur avait vérifié le paiement original sur les deux appareils, avant de découvrir plus tard une transaction différente dans son historique Electrum. Ce rapport ne mentionnait aucune perte.

Le 18 octobre, un second utilisateur a signalé avoir perdu des bitcoins après avoir augmenté les frais d'un paiement substitué. Les développeurs n'ont pas divulgué le montant concerné. Les deux rapports décrivaient des adresses d'attaquants se terminant par les mêmes quatreères que les destinations prévues — un recouvrement pouvant échapper aux vérifications fondées sur les caractères finaux d'une adresse — et l'un des paiements substitués ne comportait aucun frais, un détail pouvant le faire paraître bloqué.

Un incident distinct, la violation liée à un vol de crypto de la plateforme Railway, impliquait des identifiants soupçonnés d'avoir été exposés plutôt que des paiements en attente falsifiés.

Electrum invite à la mise à jour après le correctif

Electrum a publié la version 4.8.3 le 24 octobre. Les développeurs ont balisé la version corrigée le vendredi, la veille de sa publication. La mise à jour vérifie désormais les signatures des transactions non confirmées dépensant des fonds contrôlés par le portefeuille. Les développeurs ont classé le problème comme de gravité élevée et indiqué que certains serveurs utilisaient déjà la technique contre des utilisateurs, ce qui signifie que la menace était active plutôt qu'hypothétique.

Ils ont invité les utilisateurs à mettre à jour leur portefeuille et à vérifier les adresses des destinataires et les montants avant de signer toute transaction. Comme la vérification de signature ajoutée n'existe qu'à partir de la version 4.8.3, ces deux précautions demeurent les principales protections pour quiconque n'a pas encore effectué la mise à jour.

D'autres fournisseurs de portefeuilles ont signalé des menaces différentes ces dernières semaines. Foundation a récemment attribué des e-mails de phishing ciblant Passport contenant de vrais détails d'achat à des clés de service compromises ; ces messages n'utilisaient pas la méthode de remplacement de transactions décrite par Electrum.