Bitcoin-wallet Electrum heeft een ernstig beveiligingslek verholpen in versie 4.8.3. Kwaadaardige servers konden via het systeem voor onbevestigde transacties een vervalste betaling tonen, waarna gebruikers bij het verhogen van de transactiekosten onbedoeld Bitcoin naar een adres van een aanvaller stuurden. Minstens één gebruiker heeft gemeld hierdoor geld te zijn kwijtgeraakt.
Belangrijkste feiten
- Electrum 4.8.3 verhelpt een kwetsbaarheid in alle eerdere versies.
- Kwaadaardige servers konden onbevestigde Bitcoin-transacties vervangen door vervalste betalingen.
- Minstens één gebruiker meldde daadwerkelijk geldverlies na het verhogen van de transactiekosten.
- De update controleert handtekeningen op inputs die aan de eigen wallet toebehoren.
- Externe inkomende transacties worden voorlopig nog zonder deze handtekeningcontrole geaccepteerd.
Vervalste transactie leek legitiem
Het probleem zat in de manier waarop Electrum omgaat met onbevestigde Bitcoin-transacties die door servers worden aangeleverd. Een gecompromitteerde server kon de echte betaling onderdrukken en een tegenstrijdige transactie invoegen. Daarin stond een adres van de aanvaller als ontvanger en een transactiekost van nul, waardoor de betaling voor de gebruiker bleef lijken vast te zitten.
Electrum controleerde voorheen niet de cryptografische handtekeningen van onbevestigde transacties die door een server werden doorgestuurd. Daardoor verscheen de vervalste transactie in de walletgeschiedenis alsof die betrouwbaar was. Wie vervolgens de Bitcoin-koers van de betaling wilde verhogen met een fee-bump, ondertekende in feite een nieuwe, geldige transactie naar het adres van de aanvaller. De oorspronkelijke betaling was nooit op het netwerk terechtgekomen.
Aanval volgens melding al in gebruik
Electrum-ontwikkelaar SomberNight waarschuwde dat sommige servers deze methode al toepasten. In de beveiligingsmelding werden twee gebruikersmeldingen genoemd. Een gebruiker met de naam dannydeezy signaleerde op 11 oktober verdacht servergedrag. De gemanipuleerde transactie kwam daarbij niet verder dan de lokale server, waardoor geen geld verloren ging.
Een tweede gebruiker, Raju-K12, meldde op 18 oktober wel een bevestigd verlies. Die gebruiker had een gemanipuleerde transactie voorzien van een hogere transactiekost, waarna de nieuwe betaling de aanvaller bereikte. De aanvaller kon bovendien het ontvangstadres zo samenstellen dat de laatste vier tekens overeenkwamen met die van het bedoelde Bitcoin-adres. Wie alleen het einde van een lang adres controleerde, kon daardoor een vals gevoel van zekerheid krijgen.
Versie 4.8.3 controleert eigen adressen
De update naar Electrum 4.8.3 sluit het belangrijkste deel van het aanvalspad af. Voordat een onbevestigde transactie aan de lokale geschiedenis wordt toegevoegd, controleert de wallet voortaan de cryptografische handtekeningen op inputs die aan de gebruiker toebehoren. Een server kan daardoor geen vervalste transactie met adressen van de gebruiker invoegen zonder geldige handtekeningen.
Die handtekeningen kan een aanvaller niet namaken. Transacties die volledig afkomstig zijn van externe verzenders, waarbij geen enkele input uit de wallet van de gebruiker komt, worden nog altijd zonder die handtekeningcontrole geaccepteerd. SomberNight erkende dat dit resterende onderdeel aanvullend werk vereist. De patch werd op 23 oktober aan de software toegevoegd en de uitvoerbare bestanden kwamen een dag later beschikbaar.
Handmatige controle blijft belangrijk
Electrum is een van de oudste softwarewallets voor Bitcoin en gebruikt een open servermodel waarbij iedereen een node kan draaien. Dat model maakt dit type aanval mogelijk. Het project kreeg in het verleden al te maken met misbruik van kwaadaardige servers. In 2018 werden valse meldingen over software-updates verspreid; tegen 2020 was naar schatting 25 miljoen dollar aan Bitcoin bij gebruikers buitgemaakt.
Gebruikers die uitsluitend verbinding maken met een server die zij zelf beheren, zijn volgens de melding niet getroffen door deze aanval. Wie de wallet niet direct kan bijwerken, moet vóór het ondertekenen van iedere transactie handmatig het ontvangstadres en het bedrag controleren. Electrum 4.8.3 is beschikbaar via de kanalen van het project. Een zorgvuldige controle van de volledige Bitcoin-adresreeks is daarbij belangrijker dan alleen het vergelijken van de laatste tekens.