یک حفره‌ی امنیتی در کیف پول بیت‌کوین الکترام (Electrum) به سرورهای مخرب اجازه می‌داد تراکنش کاربر را با یک تراکنش جعلی عوض کنند و وقتی کاربر برای سریع‌تر شدن تایید، کارمزد را بالا می‌برد، بیت‌کوین او را به آدرس مهاجم بفرستند. کوین‌دسک صبح دوشنبه ۲۶ اکتبر ۲۰۲۶ (ساعت ۱:۱۵ بامداد به وقت شرق آمریکا) گزارش داد که دست‌کم یک نفر پیش از انتشار وصله بیت‌کوین از دست داده است.
حمله چطور انجام می‌شد
الکترام برای گرفتن تاریخچه‌ی تراکنش‌ها و ارسال پرداخت‌ها به سرورهای بیرونی تکیه می‌کند. تا پیش از این اصلاح، کیف پول امضای تراکنش‌های تاییدنشده‌ای را که سرور گزارش می‌داد بررسی نمی‌کرد. سرور مخرب پرداخت کاربر را پیش از رسیدن به شبکه نگه می‌داشت و به جای آن یک تراکنش ساختگی با امضای نامعتبر نشان می‌داد که دارایی را به آدرس مهاجم می‌برد.
- کیف پول این تراکنش جعلی را در حالت «در انتظار» نمایش می‌داد.
- در یک مورد گزارش‌شده، تراکنش جعلی بدون کارمزد بود تا گیرکرده به نظر برسد.
- وقتی کاربر از قابلیت Replace-by-Fee برای افزایش کارمزد استفاده می‌کرد، الکترام یک تراکنش جایگزین معتبر امضا می‌کرد که واقعا پول را به مهاجم می‌فرستاد.
- مهاجمان آدرس‌هایی ساخته بودند که چهار کاراکتر آخرشان با آدرس مقصد واقعی یکی بود تا جابه‌جایی به چشم نیاید.
گزارش‌ها و وصله
به نوشته‌ی این منبع، توسعه‌دهندگان در اکتبر دو گزارش دریافت کردند: یکی در ۱۱ اکتبر از کاربری با کیف پول چندامضایی که از دست رفتن دارایی را گزارش نکرد، و دیگری در ۱۸ اکتبر از کاربری که پس از بالا بردن کارمزد یک تراکنش جایگزین‌شده پولش را از دست داد. مقدار بیت‌کوین سرقت‌شده و هویت سرورهای مخرب اعلام نشده است.
نسخه‌ی ۴.۸.۳ الکترام روز شنبه ۲۴ اکتبر، شش روز پس از نخستین سرقت گزارش‌شده، منتشر شد و امضای تراکنش‌های تاییدنشده‌ای را که از کوین‌های خود کیف پول خرج می‌کنند بررسی می‌کند. تیم الکترام در اطلاعیه‌ی امنیتی خود اعلام کرد که برخی سرورها از این حفره سوءاستفاده می‌کردند. نسخه‌های قدیمی‌تر در اتصال به سرور مخرب همچنان آسیب‌پذیرند؛ کاربرانی که فقط به سرورهای مطمئن یا سرور شخصی خود وصل بودند در معرض این حمله نبودند. توصیه‌ی منبع، به‌روزرسانی کیف پول و بررسی دقیق آدرس و مبلغ پیش از امضای هر تراکنش است.
منبع: کوین‌دسک
باگ کیف پول الکترام؛ سرقت بیت‌کوین هنگام افزایش کارمزد تراکنش