- Electrum enthüllte eine schwerwiegende Schwachstelle, die Versionen vor 4.8.3 betraf.
- Die Schwachstelle könnte es bösartigen Servern ermöglichen, Nutzer bei Bitcoin-Gebührenerhöhungen in die Irre zu führen.
- Entwickler meldeten aktive Ausnutzung und mindestens einen bestätigten BTC-Verlust.
Electrum meldete am 24. Oktober eine schwerwiegende Schwachstelle durch Replace-by-Fee (RBF)-Angriffe, die alle Electrum-Versionen vor 4.8.3 betrafen. Version 4.8.3 führte zusätzliche Transaktionssignaturprüfungen ein.
Der Empfehlung von Electrum beschreibt, wie böswillige Server Nutzer dazu verleitet, eine betrügerische Transaktion während einer Gebührenerhöhung zu autorisieren. Entwickler haben mindestens einen Fall von verlorenem Bitcoin (BTC) von den beiden gemeldeten Vorfällen bestätigt, was einen möglichen blinden Fleck bei der Bitcoin-Selbstverwahrung aufzeigt.
Wie eine legitime Bitcoin-Zahlung zu einem potenziellen Diebstahl wurde
Am 24. Oktober 2026 veröffentlichte Electrum eine Sicherheitswarnung (GHSA-6jp4-8v48-cc5v), die alle Versionen vor 4.8.3 abdeckt, nachdem zwei private Diebstahlmeldungen eingegangen waren. Die Schwachstelle ermöglichte es dem bösartigen Server, eine normale ausgehende Zahlung als Diebstahlmöglichkeit zu nutzen.
Am 11. Oktober berichtete der erste über eine fehlgeleitete Historie nach der Ausstrahlung. Der zweite, vom Nutzer Raju-K12 am 18. Oktober, handelte vom tatsächlichen Geldverlust nach einer Gebührenerhöhung. Entwickler bestätigten, dass einige öffentliche Server den Angriff bereits durchführten.
Wenn ein Nutzer beispielsweise eine legitime Bitcoin-Transaktion (tx1) unterschreibt und sie über einen angeschlossenen Server ausstrahlt. Wenn ein bösartiger Server jedoch tx1 zurückhält und eine widersprüchliche, ungültige Transaktion (tx2) in die Wallet-Geschichte einfügt, ersetzt er die vorgesehenen Ausgaben durch die Adresse des Angreifers. Und wenn der Nutzer versucht, eine RBF-Gebührerhöhung zu erwirken, um die „festgefahrene“ Zahlung zu beschleunigen, unterschreibt die verwundbare Wallet stattdessen die betrügerische Transaktion.
Doch Version 4.8.3, die am 23. Oktober markiert und am 24. Oktober mit Binärdateien veröffentlicht wurde, überbrückte die Lücke, indem sie die Signaturvalidierung von Eingaben verhinderte, die Ausgaben von Coins in der Wallet verursachen, bevor eine unbestätigte Transaktion in den lokalen Verlauf aufgenommen wird.
Folgen Sie uns auf X für Echtzeit-Krypto-Updates.
Bitcoin-Selbstverwahrung: Warum die Kontrolle der Schlüssel nicht dasselbe ist wie die Verifizierung der Transaktion
Die Selbstverwahrung wird häufig als „nicht Ihre Schlüssel, nicht Ihre Münzen“ bezeichnet. Das stimmt, aber sie ist nicht unbedingt vollständig. Private Schlüssel oder das Hardwaregerät, das sie speichert, sind nur ein Teil einer funktionalen Selbstverwahrungslösung. Die Wallet-Software muss die Transaktion korrekt zusammenstellen und anzeigen, und der Nutzer muss die Eingaben, Ausgaben, den Betrag und die Gebühren vor der Unterschrift überprüfen.
Selbstverwahrung gibt den Nutzern die Kontrolle über ihre privaten Schlüssel, garantiert aber nicht, dass Wallet-Software Transaktionsdetails stets korrekt anzeigt. Electrum ist auf seinen angeschlossenen Server für Informationen über unbestätigte Transaktionen angewiesen, was ein potenzielles Risiko darstellt, falls ein bösartiger Server betrügerische Transaktionsdaten liefert.
Obwohl die privaten Schlüssel weiterhin unter der Kontrolle des Nutzers blieben, haben Entwickler mindestens einen Fall von verlorenem BTC unter den beiden gemeldeten Vorfällen bestätigt. Allerdings stellt der Vorfall einen wesentlichen Unterschied dar: Die Kontrolle über die Schlüssel bedeutet, dass ein Verwahrer die Gelder nicht einseitig kontrollieren kann, bedeutet aber nicht, dass alle Transaktionen, die eine Wallet vom Nutzer unterschreibt, dem entsprechen, was er beabsichtigt.
Wie Electrum-Nutzer das Risiko verringern können
Electrum empfiehlt ein Upgrade auf Version 4.8.3. Nutzer sollten das Update von der offiziellen Website herunterladen und die Unterschrift überprüfen. Wer nicht sofort upgraden kann, sollte vor dem Unterschreiben einer Transaktion, einschließlich Gebührenerhöhungen, die vollständigen Empfängeradressen und Transaktionsbeträge überprüfen. Nur die letzten paar Zeichen einer Adresse zu überprüfen, reicht nicht aus, da die gemeldeten Angreifer Adressen verwendeten, die mit den letzten vier Zeichen des legitimen Empfängers übereinstimmten.
Abonnieren Sie unseren YouTube-Kanal für die neuesten Krypto-Nachrichten.
Verwandt: XRP-Ledger bestätigt, dass nach kritischer Schwachstelle kein neues XRP erstellt wurde
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
