Bitcoin-portemonnee Electrum bracht op 24 oktober versie 4.8.3 uit met een patch voor een ernstig lek waarmee kwaadwillende servers vervalste transacties konden injecteren en gebruikers konden misleiden om naar adressen van aanvallers te betalen.

Het lek betreft alle versies van de portemonnee vóór 4.8.3, die nu beschikbaar is. Minstens één gebruiker heeft bevestigd geld te zijn verloren door de aanval.

Hoe de aanval werkt

Volgens een beveiligingsadvies dat door Electrum-ontwikkelaar SomberNight is gepubliceerd, maakt de aanval misbruik van het vertrouwensmodel van de portemonnee voor onbevestigde transacties. Wanneer een gebruiker een betaling via een gecompromitteerde server uitzendt, kan die server de echte transactie onderdrukken en een valse, conflicterende injecteren—met het outputadres van een aanvaller en een vergoeding van nul, waardoor de betaling vastgelopen lijkt.

Omdat Electrum geen handtekeningen verifieert bij onbevestigde transacties die van de server worden ontvangen, verschijnt de vervalste transactie als legitiem in de geschiedenis van de portemonnee. Wanneer de gebruiker een schijnbaar vastgelopen betaling wil versnellen via een fee-bump, ondertekent en zendt deze een volledig nieuwe, geldige transactie uit—waarvan het outputadres aan de aanvaller toebehoort. De oorspronkelijke betaling is nooit verzonden; de fee-bump is de eerste transactie die daadwerkelijk het netwerk bereikt, en die betaalt aan de aanvaller.

Fee-bumping zelf is een normale Bitcoin-praktijk—een standaardmanier om een schijnbaar vastgelopen betaling op te schudden—waardoor de spoofing een alledaagse troubleshooting-stap omzet in het moment waarop geld wordt omgeleid. De nulvergoeding die bij de valse transactie wordt getoond, is precies wat de indruk van een vastgelopen betaling creëert.

SomberNight merkte op dat aanvallers het outputadres van de valse transactie kunnen 'grinden' zodat het overeenkomt met de laatste vier tekens van de beoogde bestemming van de gebruiker. Wie alleen het staarteinde van een lang Bitcoin-adres controleert, ziet een schijnbare overeenkomst.

Aanval in het wild bevestigd

Het advies stelt dat "sommige servers deze aanval in het wild uitvoeren", ondersteund door twee gebruikersrapporten. Een gebruiker die bekendstaat als dannydeezy signaleerde op 11 oktober voor het eerst het verdachte servergedrag; de gemanipuleerde transactie verspreidde zich nooit voorbij de lokale server, dus er ging geen geld verloren. Een tweede gebruiker, Raju-K12, meldde op 18 oktober een bevestigd verlies na het versnellen van een gemanipuleerde transactie.

Wat de patch verandert

De fix in 4.8.3 sluit het grootste aanvalsoppervlak door cryptografische handtekeningen te verifiëren op inputs die aan de portemonnee toebehoren, voordat een onbevestigde transactie aan de lokale geschiedenis wordt toegevoegd. Een server kan geen valse transactie meer injecteren die de eigen adressen van de gebruiker raakt zonder geldige handtekeningen te leveren—die een aanvaller niet kan vervalsen. De fix is op 23 oktober in de repository getagd en de binaire bestanden werden een dag later gepubliceerd op de officiële releasepagina.

Inkomende transacties van externe verzenders—waarbij geen van de inputs aan de portemonnee van de gebruiker toebehoort—worden nog steeds zonder handtekeningsverificatie geaccepteerd. SomberNight erkende dit resterende hiaat in het advies en wees erop dat het sluiten ervan extra werk vergt. Hoe en wanneer Electrum die verificatie uitbreidt naar transacties van externe bronnen, is het belangrijkste open punt om in toekomstige releases in de gaten te houden.

Een bekend doelwit

Electrum, een van de oudste Bitcoin-softwareportemonnees, heeft eerder met kwaadaardige campagnes te maken gehad. Een aanval die in 2018 begon, gebruikte rogue-servers om valse updatemeldingen te verspreiden, en tegen 2020 was naar schatting $25 miljoen van Electrum-gebruikers afgetapt.

Het open servermodel van de portemonnee—iedereen kan een node draaien—maakt dit type aanval mogelijk. Electrum is een lichtgewicht client die voor blockchainedata op externe servers vertrouwt in plaats van de volledige keten te downloaden, een afweging die de portemonnee snel houdt maar de beveiliging plaatst in een servergericht vertrouwensmodel dat dit lek direct aanviel. Gebruikers die uitsluitend verbinding maken met een server die ze zelf draaien, zijn niet getroffen.

Iedereen die nog een versie vóór 4.8.3 draait, blijft kwetsbaar, en wie niet onmiddellijk kan bijwerken moet outputadressen en bedragen handmatig controleren voordat een transactie wordt ondertekend. Electrum 4.8.3 is beschikbaar op electrum.org naast de GitHub-repository van het project.