Electrum geliştiricileri, kullanıcıların Bitcoin ödemelerinin ücretini artırarak işlemi hızlandırma girişimlerini kötü niyetli sunucuların saldırganlara fon göndermesi için kullandığı bir güvenlik açığını 4.8.3 sürümüyle giderdi.
24 Ekim'de yayımlanan danışma metnine göre, bu açık Electrum sürüm 4.8.3 öncesi versiyonları etkiliyordu ve iki kullanıcı raporu sonrasında ortaya çıkarıldı. İlk rapor 11 Ekim, ikinci raporda ise kullanıcılar ödemelerin ücretini artırdıktan sonra fon kaybı bildirdi.
Güvenlik açığı, Electrum'un dış sunucular üzerinden ödeme bilgilerini alırken meşru bir ödemeyi bekletip cüzdan geçmişinde kullanıcıya benzer ama farklı alıcı adresi gösteren sahte bir işlem sunmasına dayanıyordu. Sahte işlem kendi başına Bitcoin harcayamıyordu ancak kullanıcının ücreti artırarak işlemi hızlandırmaya çalışması durumunda saldırganın adresine gerçek fon transferi gerçekleşiyordu.
Danışmada, iki vaka arasında saldırgan adreslerinin alıcı adreslerinin son dört karakterini paylaşması nedeniyle kullanıcının küçük farkları fark etmeden işlemi onaylamasının mümkün olduğu vurgulandı. Kaybedilen fon miktarı açıklanmadı.
Yeni sürüm, bekleyen ödemelerin cüzdandan gerçekten harcanıp harcanmadığını kontrol ederek bu tür sahte işlemlerin görüntülenmesini engelliyor. Ayrıca geliştiriciler, özellikle işlem onayından önce alıcı adres ve tutarın dikkatle kontrol edilmesini önerdi.
Güvenlik danışması, özel anahtarların çalınmadığını ve Bitcoin protokolünün saldırıya uğramadığını belirtti. Ayrıca sadece güvenilir sunuculara bağlanan kullanıcıların bu açıkla etkilenmeyeceği belirtildi.