Les notes officielles présentent la version 4.8.3 comme une mise à jour de sécurité. Un avis publié décrit désormais l'attaque divulguée et confirme des signalements d'exploitation. Cet avis classe la vulnérabilité concernée à un niveau de gravité élevé.
Pour les personnes qui utilisent Electrum afin d'envoyer des bitcoins en vue d'un échange, le point immédiat est la transaction qu'elles autorisent. Garder ses clés privées ne dispense pas de vérifier ce que le logiciel demande de signer avec elles.
Comment une hausse des frais pouvait détourner un paiement
Selon l'avis de sécurité d'Electrum, un serveur malveillant pouvait retenir une transaction tout juste diffusée et faire apparaître à sa place une transaction concurrente dans le portefeuille. Celle-ci dirigeait les fonds vers l'adresse de l'attaquant. Ses signatures étaient invalides, mais l'ancien client pouvait malgré tout l'afficher comme un paiement non confirmé.
L'étape décisive survenait lorsque l'utilisateur augmentait les frais de ce paiement avec le mécanisme de remplacement par les frais, appelé RBF. Signer la transaction de remplacement pouvait transformer la transaction jusque-là invalide en paiement valide à l'attaquant. Le risque associait donc un historique trompeur à une signature de l'utilisateur, sans que le serveur obtienne directement ses clés privées.
Qui doit effectuer la mise à jour
L'avis désigne les versions antérieures à 4.8.3 comme affectées et la version 4.8.3 comme corrigée. Il indique que les clients connectés à des serveurs de confiance, par exemple un serveur exploité par l'utilisateur, ne sont pas exposés à cette attaque précise. Cette exception ne justifie pas de renoncer aux mises à jour de sécurité.
Le scénario décrit suppose une activité transactionnelle et une signature. Il ne démontre pas qu'un portefeuille hors ligne laissé intact puisse être vidé simplement parce qu'une ancienne version d'Electrum se trouve sur un ordinateur. À l'inverse, détenir ses clés ne suffit pas à empêcher l'autorisation d'un paiement manipulé. Notre guide des portefeuilles crypto explique les responsabilités liées à l'autoconservation.
Mettre à jour sans communiquer sa phrase de récupération
La page officielle de téléchargement d'Electrum propose la version et ses signatures. La documentation précise que les fichiers du portefeuille sont stockés séparément de l'application. Une mise à jour normale consiste à installer un logiciel, pas à transférer des fonds vers une nouvelle adresse.
- Vérifiez que votre sauvegarde de récupération est disponible et conservée hors ligne avant de modifier le logiciel. Ne photographiez pas la phrase et ne la téléversez pas pour effectuer la mise à jour.
- Récupérez le programme d'installation uniquement depuis la page officielle de téléchargement d'Electrum. Évitez les publicités, les messages privés et les boutons de téléchargement présents dans des alertes inattendues.
- Vérifiez la signature GPG correspondante en suivant les instructions du projet. Contrôlez l'empreinte de la clé de signature auprès d'une source indépendante fiable ; télécharger une clé ne suffit pas à établir son authenticité.
- Installez la version vérifiée, rouvrez le portefeuille et contrôlez son numéro de version. Ne saisissez jamais une phrase de récupération sur un site ni dans une fenêtre surgissante qui la réclame pour une mise à jour ou un contrôle de sécurité.
La vérification de signature contrôle l'identité du signataire du fichier téléchargé et l'absence de modification. Elle ne garantit pas la sécurité de tous les paiements futurs. Si elle échoue ou si vous ne parvenez pas à établir quelle est la bonne clé, suspendez l'installation et résolvez l'écart à l'aide de la documentation officielle.
Vérifiez le paiement, pas seulement son statut
Avant de signer, comparez l'adresse complète du destinataire, le montant et les frais avec le paiement prévu. L'avis indique que, dans les deux cas signalés, les adresses des attaquants reprenaient les quatre derniers caractères des adresses légitimes. Vérifier uniquement la fin n'aurait donc pas révélé la substitution.
Une transaction en attente inattendue mérite un examen avant toute hausse de frais. Consultez notre guide des arnaques crypto pour les signaux d'alerte et notre guide pour envoyer et recevoir des cryptomonnaies pour les vérifications de transfert. Une entrée dans l'historique ne prouve pas, à elle seule, qu'il s'agit du paiement créé ou que le réseau l'a accepté.
Ce que les informations publiées ne permettent pas d'établir
Electrum fait état de deux témoignages d'utilisateurs, dont un ayant perdu des fonds après avoir augmenté les frais. Le projet indique également que des serveurs malveillants exécutent cette attaque. L'avis ne fournit ni nombre total vérifié de victimes ni montant global des pertes. Ces témoignages ne doivent donc pas être présentés comme l'étendue complète de l'incident.
Le correctif ajoute des contrôles de signature pour les entrées appartenant au portefeuille dans les transactions non confirmées. Electrum précise aussi qu'il reste un client léger dont les vérifications ont des limites. La mise à jour traite la faille divulguée ; examiner chaque paiement reste nécessaire pour envoyer ou échanger des bitcoins.
