Un recente report fornito segnala che Electrum ha corretto una vulnerabilità critica del wallet che avrebbe potuto consentire a un server malevolo di sostituire un pagamento Bitcoin durante un aumento della commissione, inducendo l’utente a firmare una transazione sostitutiva contraffatta. Lo stesso report afferma che sono interessate le versioni precedenti alla 4.8.3, che un utente ha perso fondi e che gli utenti dovrebbero aggiornare il software e ricontrollare indirizzo del destinatario e importo prima di firmare.

Come dovrebbe funzionare l’attacco segnalato a Electrum

Le informazioni disponibili descrivono un attacco di sostituzione della transazione, non un’affermazione generalizzata secondo cui ogni pagamento effettuato con Electrum venga reindirizzato automaticamente. Nel flash fornito, un server malevolo avrebbe interferito dopo l’invio di una transazione, sfruttando poi il flusso Replace-by-Fee, o RBF, per indurre il wallet a firmare una transazione sostitutiva contraffatta.

Il punto debole segnalato sarebbe quindi la fase di aumento della commissione. Quando un utente cerca di incrementare la commissione di mining di una transazione Bitcoin ancora in attesa, il wallet può dover firmare una nuova versione della stessa transazione. Secondo il flash, è in questa fase che il server malevolo può sostituire la destinazione con un indirizzo controllato dall’attaccante e al contempo aumentare le commissioni, facendo apparire l’operazione come un normale tentativo di accelerazione.

Un estratto nei risultati di ricerca di The Defiant descrive lo stesso schema di base: un server malevolo può sostituire il pagamento con uno falso e indurre l’utente a firmarlo mentre la commissione della transazione viene aumentata. Nel complesso, questi resoconti indicano un problema segnalato di affidabilità della schermata di firma legato alle transazioni sostitutive, non un’esposizione diretta delle chiavi private di Electrum.

Cosa implica oggi per gli utenti l’affermazione sulla correzione nella versione 4.8.3

In base al report fornito, l’azione immediata per gli utenti è aggiornare il software e verificare indirizzo del destinatario e importo prima di firmare qualsiasi transazione. Questa è la risposta pratica più chiara alla domanda se il problema richieda un cambiamento immediato di comportamento: anche in presenza di una correzione software dichiarata, il controllo della transazione resta la principale protezione contro la sostituzione di un pagamento.

Resta tuttavia un’importante incertezza sulla versione esatta contenente la correzione. Il flash fornito afferma che il problema interessa le versioni precedenti alla 4.8.3 ed è risolto nella 4.8.3, ma le prove fornite non includono note di rilascio o un avviso di sicurezza di Electrum leggibili che confermino tale versione. Un estratto dai risultati di ricerca del sito di Electrum indicava la 4.8.2 come ultima release; pertanto, in questa sede la correzione nella 4.8.3 va considerata un’affermazione riportata e non uno stato della release confermato direttamente.

Questa incertezza non invalida il meccanismo di attacco segnalato, ma limita la precisione con cui può essere descritta la correzione. I lettori non dovrebbero presumere che il solo aggiornamento elimini ogni rischio associato a server malevoli; inoltre, le prove fornite non stabiliscono che tutte le piattaforme, le modalità del wallet o tutte le transazioni RBF di Electrum siano interessate allo stesso modo.

Cosa risulta effettivamente accertato dai report attuali

I punti meglio supportati sono questi: il rischio segnalato coinvolge un server malevolo, il presunto percorso di furto è legato alla firma di una transazione sostitutiva durante un aumento della commissione e l’indicazione rivolta agli utenti è aggiornare il software e verificare con attenzione destinazione e importo prima della firma. Il flash fornito afferma inoltre che Electrum ha ricevuto due segnalazioni correlate e che un utente ha perso fondi.

Altrettanto rilevante è ciò che le prove fornite non accertano. Non è disponibile un avviso di Electrum direttamente consultabile che confermi il numero degli incidenti, né è stata esaminata una pagina primaria di rilascio che dimostri che la 4.8.3 sia la versione correttiva effettivamente disponibile; manca inoltre una conferma dell’ambito riguardante piattaforme o configurazioni specifiche del wallet. Il quadro attuale va quindi interpretato come un rischio credibile e segnalato relativo alla firma nel wallet, mentre resta irrisolto il riscontro primario sulla versione esatta della release.