悪意あるElectrumサーバー、本物の支払いをゼロ手数料の偽物にすり替え

悪意のあるElectrumサーバーは、ユーザーが直近で送信したビットコインの支払いを、そっくりなアドレス宛てに送金する偽のゼロ手数料トランザクションに置き換えました。

サーバー側は被害者が手数料を上げて偽トランザクションに署名すると予想していました。

Electrumは2026年10月24日、重大な脆弱性に対処するためバージョン4.8.3をリリースしました。メンテナーのSomberNight氏も同日、アドバイザリGHSA-6jp4-8v48-cc5vを公開し、ユーザーにアップグレードを求めました。

偽造されたアドレスは、正規の宛先の末尾「GyQ3」と共有されていました

Electrumは軽量クライアントです。完全なBitcoinノードを保持しておらず、未確認のメモリプール取引についてはサーバーに依存しています。その公式ドキュメントでは、動作原理が説明されています。

誰かがtx1に署名して送信します。悪意のあるサーバーがこれを遮断し、攻撃者のアドレスにお金を送金する別のtx2をウォレットに送り込みます。

Tx2には無効な署名が含まれています。古いバージョンのElectrumはメモリプール取引の署名を検証しなかったため、ウォレットはtx2を保留中として表示し、tx1を非表示にしました。

Replace-By-Fee（RBF）とは、送信者が未確認の取引をより高い手数料で再送信することを許可する機能です。偽造取引の手数料が増加すると、ウォレットは攻撃者側のバージョンに有効な署名を行います。

被害者の一人であるdannydeezy氏はこの攻撃について文書化しています。これは2つのTrezorと31の入力、1つの出力を持つ2-of-3レガシーP2SHマルチシグでした。

ユーザーは両方のTrezor上で出力を確認した後、トランザクションをブロードキャストしました。その後、ウォレットの履歴には不明なアドレスへの全額が未確認として表示され、後で「Local」に切り替わりました。

偽造取引は、本物の取引の入力、バージョン、ロックタイムを複製し、すべての31の入力に対してバイト単位で同一のscriptSigsを持っていました。

62件の署名すべてが本物の取引に対して検証されました。偽造取引に対して検証されたものはありませんでした。

そのほとんどは似非アドレスに送信され、少量がウォレットの以前使用したアドレスの1つに戻されました。

偽物はGyQ3で終わっていました。本物のエンドポイントも同様でした。

攻撃者は正しいアドレスの末尾4文字と一致するアドレスを特定していました。

ZachXBT氏は、Phantomウォレットユーザーに影響を与えた同様のアドレス・ポイズニング詐欺も指摘しています。なりすましアドレスは、先頭と末尾の文字を一瞥しただけでは見破ることが困難になっています。

バージョン 4.8.3 はウォレット所有の入力のみに対して署名をチェックします

別のユーザーであるRaju-K12氏は10月18日に、偽物の手数料を引き上げて資金を失ったことを私的に報告しました。一部のサーバーでは攻撃が実環境で実行されており、メンテナーらが指摘しています。

コミット 90fe308 は、ウォレット所有の「is_mine」入力に対する署名チェックを追加し、メモリプール取引をローカル履歴に追加する前に検証を行います。バージョン 4.8.3 は10月23日にgitタグ付けされ、バイナリは翌日にリリースされました。

Electrum は依然としてウォレットが制御する入力のみをチェックします。そのため、未確認の受信取引はチェックされません。

これはクライアントに完全なスクリプトインタープリターがないためです。

アップグレードできない人向けに、Electrum の回避策は、手数料引き上げを含むあらゆる署名処理の前に出力アドレスと金額を検証することです。自身のサーバーにのみ接続していたユーザーは影響を受けませんでした。

Electrumは過去に緊急修正パッチを提供したことがあります。2018年1月には、Googleの研究者Tavis Ormandy氏によって、ウェブサイトがポートを検出し資金を盗み出すことが可能であることが発見された後、約2年間開けられていたJSON RPCインターフェースが閉鎖されました。

Cryptopolitanによると、Coldcardのシード生成バグに関する警告が7月に入ってきました。その同じ日、約500件のウォレットから約594 BTC（約3,800万ドル）が盗まれました。