Разработчики Electrum выпустили версию 4.8.3, закрывающую уязвимость, которой злоумышленники уже успели воспользоваться для кражи средств. Баг позволял подконтрольному хакеру серверу подменять неподтверждённые транзакции в истории кошелька.

Схема работала через механизм ускорения перевода: если пользователь повышал комиссию, Electrum формировал новую транзакцию с адресом атакующего вместо реального получателя. После подписания такой транзакции криптовалюта уходила злоумышленникам.

Уязвимость затрагивала именно отображение неподтверждённых операций, то есть окно между отправкой и попаданием в блокчейн. В этот период данные в интерфейсе кошелька не сверялись с достоверным источником, чем и пользовались атакующие.

Обновление до 4.8.3 устраняет возможность подмены. Пользователям прежних версий рекомендуется обновиться и внимательно проверять адреса получателей перед повышением комиссии по старым переводам.

Реакция сообщества ожидаема: вопросы вызывает не сам баг, а то, что исправление вышло уже после первых случаев кражи. Тем, кто ускорял переводы в уязвимый период, стоит проверить историю операций на предмет подмены адресов.