Биткоин-кошелёк Electrum выпустил экстренное обновление безопасности после того, как злоумышленники использовали уязвимость, позволявшую вредоносным серверам подменять легитимные транзакции поддельными и обманом заставлять пользователей отправлять биткоины на подконтрольные злоумышленникам адреса.

Критическая уязвимость, раскрытая 24 октября 2026 года в предупреждении о безопасности, затрагивает все версии Electrum до 4.8.3. Разработчики подтвердили, что атака применялась на практике: два пользователя сообщили об инцидентах, и как минимум один потерял средства при попытке повысить комиссию транзакции.

Эксплуатация уязвимости не требовала доступа к ключам или seed-фразам. Вместо этого злоумышленники манипулировали неподтверждёнными транзакциями, отображавшимися в кошельке, используя зависимость Electrum от внешних серверов для получения информации о транзакциях.

Вредоносные серверы подменяли легитимные транзакции

Electrum работает как облегчённый биткоин-кошелёк: вместо ведения полного блокчейн-узла она получает историю транзакций и рассылает платежи через внешние серверы.

Уязвимость позволяла вредоносному серверу перехватить только что отправленную биткоин-транзакцию и не допустить её попадания в сеть. Затем сервер мог заменить легитимный платёж в истории кошелька пользователя поддельной версией, направляющей средства на адрес, контролируемый злоумышленником.

Хотя подменённая транзакция содержала недействительные криптографические подписи, увимые версии Electrum отображали её как обычный неподтверждённый платёж.

Схема срабатывала, когда пользователи пытались повысить комиссию через механизм Replace-by-Fee (RBF) в биткоине. Electrum могла использовать поддельную транзакцию в качестве основы для замены, побуждая пользователя авторизовать действительный платёж, переводивший средства злоумышленнику.

В обоих задокументированных случаях злоумышленники генерировали адреса назначения, совпадающие с последними четырьмя символами адреса предполагаемого получателя, что затрудняло обнаружение подмены. Одна поддельная транзакция также практически не содержала комиссии, что, возможно, подталкивало жертву воспользоваться функцией повышения комиссии.

Два пользователя сообщили об атаках, включая одно подтвержденное хищение

О первом инциденте разработчики Electrum узнали 11 октября: речь шла о мультиподписном кошельке со схемой «два из трёх», подключённом к двум аппаратным устройствам Trezor. Пользователь проверил легитимную исходящую биткоин-транзакцию на обоих устройствах перед её отправкой, однако затем кошелёк отобразил незнакомую транзакцию, направлявшую средства на другой адрес.

Исследователи установили, что исходная транзакция так и не попала в мемпул биткоина. Поддельная замена использовала те же входы, но изменяла получателя, а её подписи были недействительны для подменённого платежа. Этот пользователь заметил несоответствие до того, как понёс какой-либо зафиксированный ущерб.

Второй пользователь связался с разработчиками 18 октября после того, как повысил комиссию в аналогичным образом подменённой транзакции и потерял биткоины. Похищенная сумма не разглашается.

Electrum не установила вредоносные серверы и не выяснила, сколько ещё пользователей могли столкнуться с атакой.

Версия 4.8.3 добавляет проверку подписей для ожидающих платежей

Патч безопасности меняет то, как Electrum обрабатывает неподтверждённые транзакции, затрагивающие средства, контролируемые кошельком пользователя. Версия 4.8.3 проверяет подписи входов транзакций, принадлежащих кошельку, прежде чем принимать ожидающие транзакции в локальную историю, блокируя конкретную технику подмены, применённую в описанных атаках. Соответствующее изменение кода доступно в коммите проекта.

Исправленная версия была помечена 23 октября, установочные пакеты вышли на следующий день.

Обновление не вводит полную проверку всех неподтверждённых биткоин-транзакций. Входящие платежи с внешними адресами остаются за рамками новых проверок подписей, а подтверждённые транции по-прежнему полагаются на существующие механизмы верификации Electrum.

Эта уязвимость отличается от недавних инцидентов безопасности кошельков, связанных с утечкой клиентских данных Keystone и фишинговыми кампаниями против аппаратных кошельков, включая последние поддельные письма об отзыве устройств, нацеленные на владельцев Foundation Passport.

Electrum призывает пользователей установить версию 4.8.3 с официального сайта и проверять полный адрес получателя и сумму платежа перед подписанием любой транзакции, включая повышение комиссии. Пользователи, подключённые исключительно к доверенным серверам, включая работающих на собственной инфраструктуре, этой конкретной атаке не подвергались.

Общий финансовый ущерб остаётся неизвестным, и Electrum не сообщала о подтверждённых хищениях помимо инцидента 18 октября.