La plateforme de portefeuille Bitcoin Electrum a récemment corrigé une vulnérabilité significative qui permettait à des serveurs malveillants de manipuler des transactions en attente. Cette faille, révélée le 24 octobre dans la version 4.8.3, a conduit certains utilisateurs à rediriger involontairement leurs fonds vers des adresses contrôlées par des attaquants.
Des utilisateurs ont confirmé avoir subi des pertes, notamment un utilisateur qui aurait perdu des fonds le 18 octobre après avoir tenté de relancer une transaction manipulée par un serveur non sécurisé. Ce bug a exploité le modèle de confiance d’Electrum concernant les transactions non confirmées.
Les conséquences de la vulnérabilité
La vulnérabilité affecte toutes les versions d’Electrum antérieures à 4.8.3. Les attaquants ont réussi à infiltrer le processus de diffusion des paiements via des serveurs compromis. Lorsque les utilisateurs effectuaient une transaction, le serveur pouvait alors supprimer la vraie transaction et injecter une transaction factice, affichant une adresse de sortie contrôlée par l’attaquant et un frais de zéro, donnant l'apparence d'un paiement bloqué.
Sans la vérification des signatures pour les transactions non confirmées, ces fausses transactions semblaient légitimes dans l’historique des portefeuilles.
Lorsqu’un utilisateur tentait de relancer ce qui semblait être un paiement en attente, il signait et diffusait une nouvelle transaction valide dont l'adresse de destination appartenait à l’attaquant, entraînant ainsi une perte monétaire.
Comment la mise à jour résout le problème
Les développeurs d’Electrum ont réagi rapidement en publiant une mise à jour qui corrige cette vulnérabilité. La version 4.8.3 effectue désormais une vérification des signatures sur les entrées appartenant au portefeuille de l'utilisateur avant d'afficher une transaction non confirmée. Une manière efficace d’empêcher les serveurs malveillants d’injecter des transactions bidon reliant à l'adresse d’un utilisateur.
Ce correctif a été intégré au dépôt de code le 23 octobre et les fichiers binaires ont suivi le jour suivant. Dorénavant, un serveur ne peut plus injecter une transaction factice sans fournir des signatures valides, ce qui constitue un bon pas vers la sécurisation des transactions.
Des exploits précédents et la résilience d’Electrum
Ce n’est pas la première fois qu’Electrum est confronté à des problèmes de sécurité. En 2018, un groupe malveillant avait utilisé des serveurs compromettants pour diffuser de fausses notifications de mise à jour, entraînant des pertes considérables. En 2020, on estimait que 25 millions de dollars avaient été volés à des utilisateurs d’Electrum lors d’une autre exploitation.
Le modèle de serveurs ouverts d’Electrum, qui permet à n’importe qui de faire fonctionner un nœud, rend ce type d’attaque possible. Cependant, la sécurité est renforcée pour les utilisateurs qui se connectent exclusivement à un serveur qu’ils exploitent eux-mêmes.
Les utilisateurs incapables de mettre à jour immédiatement sont invités à vérifier manuellement les adresses de sortie et les montants avant de signer toute transaction, puis à télécharger la version 4.8.3 sur le site officiel d’Electrum.
Un avenir plus sûr?
Le correctif d’Electrum apporte un soulagement significatif, mais il demeure essentiel pour les utilisateurs de faire preuve de vigilance dans la gestion de leurs portefeuilles. La communauté crypto doit rester informée et proactive face aux futures menaces potentielles. L’ensemble de l’écosystème doit continuer à privilégier la sécurité pour préserver la confiance des utilisateurs dans les services de portefeuille.
FAQ
Qu'est-ce que la mise à jour 4.8.3 corrige ?
Elle corrige une vulnérabilité permettant à des serveurs malveillants d’injecter des transactions fausses dans le portefeuille des utilisateurs.
Comment peuvent-ils sécuriser leurs transactions après la mise à jour ?
Les utilisateurs sont encouragés à vérifier manuellement les adresses de sortie et à utiliser leurs propres serveurs pour réduire les risques d'attaques.
Electrum a-t-il d'autres vulnérabilités infantilisées dans le passé ?
Oui, Electrum a déjà connu des attaques antérieures, notamment en 2018 et 2020, où des millions de dollars ont été perdus.
