Electrum corrige la faille du portefeuille Bitcoin exploitée par des serveurs malveillants

• Electrum a révélé une vulnérabilité de haute gravité affectant les versions antérieures à la 4.8.3.
• Cette faille pourrait permettre aux serveurs malveillants de tromper les utilisateurs signant des transactions d’augmentation de frais sur Bitcoin.
• Les développeurs ont signalé une exploitation active et au moins une perte confirmée en BTC.

Electrum a révélé une vulnérabilité de haute gravité le 24 octobre via des attaques de remplacement par frais (RBF) affectant toutes les versions d’Electrum antérieures à la 4.8.3. La version 4.8.3 a introduit des vérifications supplémentaires de signature transactionnelle.

L’avis d’Electrum décrit comment des serveurs malveillants peuvent induire en erreur les utilisateurs en autorisant une transaction frauduleuse lors d’une augmentation de frais. Les développeurs ont confirmé au moins un cas de perte de Bitcoin (BTC) parmi les deux incidents signalés, mettant en lumière un angle mort potentiel dans l’auto-garde du Bitcoin.

Comment un paiement légitime en Bitcoin est devenu un vol potentiel

Le 24 octobre 2026, Electrum a publié un avis de sécurité (GHSA-6jp4-8v48-cc5v) couvrant toutes les versions antérieures à la 4.8.3, après avoir reçu deux signalements privés de vol. Cette vulnérabilité a permis au serveur malveillant d’utiliser un paiement sortant normal comme une opportunité de vol.

Le 11 octobre, le premier a signalé un historique mal aligné après la diffusion. Le second, de l’utilisateur Raju-K12, le 18 octobre, portait sur la perte réelle d’argent suite à une augmentation des frais. Les développeurs ont confirmé que certains serveurs publics menaient déjà l’attaque.

Par exemple, si un utilisateur signe une transaction Bitcoin légitime (tx1) et la diffuse via un serveur connecté. Mais si un serveur malveillant retient tx1 et injecte une transaction conflictuelle et invalide (tx2) dans l’historique du portefeuille, il remplacera les sorties prévues par l’adresse de l’attaquant. Et lorsque l’utilisateur tente une augmentation des frais RBF pour accélérer le paiement « bloqué », le portefeuille vulnérable signera la transaction frauduleuse à la place.

Mais la version 4.8.3, taguée le 23 octobre et publiée avec des binaires le 24 octobre, a comblé ce fossé en empêchant la validation de signature des entrées qui entraînent des pièces de dépense dans le portefeuille avant qu’une transaction non confirmée ne soit ajoutée à l’historique local.

Suivez-nous sur X pour des mises à jour crypto en temps réel.

Auto-garde du Bitcoin : pourquoi contrôler les clés n’est pas la même chose que vérifier la transaction

L’auto-garde est communément appelée « ni vos clés, ni vos pièces ». C’est vrai, mais ce n’est pas nécessairement complet. Les clés privées, ou le dispositif matériel qui les stocke, ne sont qu’une partie d’une solution fonctionnelle d’auto-garde. Le logiciel du portefeuille doit assembler et afficher correctement la transaction, et l’utilisateur doit vérifier les entrées, sorties, montant et frais avant de signer.

L’auto-garde donne aux utilisateurs le contrôle de leurs clés privées, mais ne garantit pas que les logiciels de portefeuille afficheront toujours correctement les détails des transactions. Electrum s’appuie sur son serveur connecté pour obtenir des informations sur les transactions non confirmées, créant un risque potentiel si un serveur malveillant fournit des données de transaction frauduleuses.

Bien que les clés privées soient restées sous le contrôle de l’utilisateur, les développeurs ont confirmé au moins un cas de perte de BTC parmi les deux incidents signalés. Cela dit, cet incident soulève une différence essentielle : avoir les clés sous contrôle signifie qu’un dépositaire ne peut pas contrôler unilatéralement les fonds, mais n’implique pas que toutes les transactions qu’un portefeuille demande à l’utilisateur de signer correspondent à ce qu’il souhaite.

Comment les utilisateurs d’Electrum peuvent-ils réduire le risque

Electrum recommande de passer à la version 4.8.3. Les utilisateurs doivent télécharger la mise à jour depuis le site officiel et en vérifier la signature. Ceux qui ne peuvent pas mettre à jour immédiatement doivent vérifier l’ensemble des adresses des destinataires et les montants des transactions avant de signer toute transaction, y compris les augmentations de frais. Vérifier uniquement les derniers caractères d’une adresse est insuffisant, car les attaquants signalés ont utilisé des adresses correspondant aux quatre derniers caractères du destinataire légitime.

Abonnez-vous à notre chaîne YouTube pour les dernières actualités crypto.

En lien : Le registre XRP confirme qu’aucun nouveau XRP n’a été créé après une vulnérabilité critique