Des serveurs Electrum malveillants échangent de vrais paiements contre des faux sans frais

Des serveurs Electrum malveillants ont remplacé les paiements bitcoin récemment diffusés par les utilisateurs par de fausses transactions à frais nuls adressées à des adresses ressemblantes.

Les serveurs pariaient que les victimes augmenteraient les frais et signeraient la fausse transaction.

Electrum a publié la version 4.8.3 le 24 octobre pour corriger cette faille de haute gravité. Le mainteneur SomberNight a publié l'avis GHSA-6jp4-8v48-cc5v le même jour et a demandé aux utilisateurs de mettre à jour leur logiciel.

L'adresse forgée partageait une fin avec 'GyQ3' correspondant à la destination légitime

Electrum est un client léger. Il ne dispose pas d'un nœud Bitcoin complet et s'appuie sur son serveur pour les transactions en attente de confirmation dans le mempool. Sa propre documentation explique son fonctionnement.

Quelqu'un signe et transmet tx1. Un serveur malveillant l'intercepte et envoie au portefeuille une transaction différente, tx2, qui transfère les fonds vers une adresse contrôlée par l'attaquant.

Tx2 contient des signatures invalides. Les anciennes versions d'Electrum ne vérifiaient pas les signatures des transactions du mempool ; le portefeuille affichait donc tx2 comme « en attente » et masquait tx1.

Le Replace-By-Fee (RBF) permet à l'expéditeur de relayer une transaction non confirmée avec des frais plus élevés. Si les frais de la fausse transaction sont augmentés, le portefeuille signe la version de l'attaquant avec une signature valide.

L'une des cibles, connue sous le nom de dannydeezy, a documenté cette attaque. Il s'agissait d'un multisig P2SH hérité 2-sur-3 avec deux appareils Trezor, 31 entrées et une sortie.

L'utilisateur a vérifié la sortie sur les deux Trezors avant de diffuser la transaction. L'historique du portefeuille a ensuite affiché le montant total allant vers une adresse inconnue comme « non confirmé », puis l'entrée a changé pour devenir « Local ».

La fausse transaction répliquait les entrées, la version et le locktime de la transaction réelle, avec des scriptSigs identiques octet par octet sur les 31 entrées.

Les 62 signatures ont été validées par rapport à la transaction réelle. Aucune n'a été validée par rapport à la fausse transaction.

Presque tout a été envoyé à une adresse similaire, avec une petite quantité renvoyée à l'une des adresses déjà utilisées du portefeuille.

Le faux se terminait par GyQ3. C'était aussi le cas de la véritable destination.

L'attaquant avait identifié une adresse correspondant aux quatre derniers caractères de la bonne adresse.

ZachXBT a également signalé un scam similaire d'empoisonnement d'adresses touchant les utilisateurs du portefeuille Phantom. Les adresses falsifiées sont conçues pour tromper une première inspection des premier et dernier caractères.

La version 4.8.3 vérifie les signatures uniquement sur les entrées appartenant au portefeuille

Un autre utilisateur, Raju-K12, a signalé en privé le 18 octobre avoir augmenté les frais sur la transaction frauduleuse et subi une perte financière. Selon les mainteneurs, certains serveurs exécutent cette attaque dans la nature.

Le commit 90fe308 ajoute une vérification des signatures sur les entrées « is_mine » (appartenant au portefeuille) avant d'ajouter une transaction mempool à l'historique local. La version 4.8.3 a été taguée sur Git le 23 octobre et les binaires ont été publiés le lendemain.

Electrum ne vérifie que les entries contrôlées par le portefeuille. Les transactions entrantes non confirmées restent donc sans vérification.

Cela est dû au fait que le client ne dispose pas d'un interpréteur de scripts complet.

Pour contourner ce problème, Electrum recommande à ceux qui ne peuvent pas mettre à jour de vérifier les adresses et les montants des sorties avant de signer quoi que ce soit, y compris les augmentations de frais. Les utilisateurs connectés uniquement à leurs propres serveurs n'ont jamais été affectés.

Electrum a déjà déployé des correctifs d’urgence par le passé. En janvier 2018, il a fermé une interface JSON RPC qui était restée ouverte pendant environ deux ans, après que le chercheur de Google Tavis Ormandy ait découvert qu’un site web pouvait détecter ce port et vider les fonds.

Cryptopolitan a rapporté qu'un avertissement concernant un bug de génération de seed sur Coldcard est arrivé en juillet, le même jour où environ 594 BTC, soit ~38 millions de dollars, ont été détournés d'environ 500 portefeuilles.