ビットコイン
BTCのウォレットElectrumの開発元は24日（UTC）、深刻度が高い脆弱性をGitHubのセキュリティ勧告で公表した。悪意のあるサーバーが利用者のウォレットに偽の取引を表示させ、手数料を上げる操作を通じて資金を奪う手口で、一部のサーバーが実際にこの攻撃をしているという。修正版の4.8.3で対応した。
Electrum、偽の取引で手数料の引き上げを誘う手口
勧告によると、Electrumは接続先のサーバーを信頼して、未承認の取引の情報を受け取る設計になっている。
利用者が取引を送ると、悪意のあるサーバーはそれを握りつぶし、送金先を攻撃者のアドレスに替えた偽の取引をウォレットの履歴に表示させる。偽の取引の署名は正しくないが、これまでのElectrumは確かめていなかった。
利用者がこの偽の取引の手数料を上げる操作（RBF）をすると、ウォレットが改めて署名し、攻撃者に支払うことになる。資金を失った利用者の報告では、偽の取引は手数料がゼロで作られており、開発元は手数料の引き上げを狙ったものとみている。
Electrum、報告者1人が資金を失う──修正版4.8.3で署名を確認
開発元には利用者2人から報告があり、そのうち1人は手数料を上げて資金を失った。被害額は示していない。2人とも、偽の送金先アドレスは本来の送金先と末尾4文字がそろうように作られていたと報告している。
もう1人は、ハードウェアウォレット2台で送金先を確かめてから送信していたが、履歴には見知らぬアドレスへの未承認の送金が表示されたという。末尾をそろえた偽のアドレスは、少額の送金で履歴に偽のアドレスを紛れ込ませるアドレスポイズニングと呼ばれる別の詐欺でも使われる。
開発元によると、最初の報告は11日にあり、資金を失ったという報告は18日に届いた。修正を含む4.8.3は23日に版として確定し、配布版と勧告は24日に公開されている。
対象は4.8.3より前の版で、4.8.3は自分のウォレットから支払う未承認の取引について署名を確かめる。受け取る取引の署名は修正後も確かめないという。
開発元は更新を求めている。更新しないまま使う場合の回避策として、手数料を上げるかどうかにかかわらず、署名のたびに送金先と金額を確かめるよう呼びかけた。
自分で運用するサーバーなど、信頼できるサーバーにつなぐ利用者は影響を受けないという。
