Electrum dicht bitcoin-lek: kwaadaardige servers verstopten diefstal in een fee bump

Wie bitcoin beheert in Electrum en nog niet op versie 4.8.3 draait, doet er goed aan eerst te updaten voordat hij ook maar één openstaande transactie aanraakt. Kwaadaardige servers hebben een ernstig lek in alle eerdere versies gebruikt om betalingen om te leiden, en minstens één gebruiker is daadwerkelijk bitcoin kwijtgeraakt. Het venijnige zit in het moment van de diefstal: die ging schuil achter een handeling die vrijwel iedereen als onschuldig ziet, het verhogen van de transactiekosten.

Een fee bump als valstrik

Electrum is een lichte wallet. Je private keys blijven op je eigen apparaat, maar voor je transactiegeschiedenis en het doorsturen van betalingen leunt de software op externe servers. Bevestigde transacties controleert Electrum zelf via Simple Payment Verification (SPV). Bij onbevestigde transacties vertrouwde de wallet volgens de eigen documentatie op wat de hoofdserver aanleverde. Precies daar zat de zwakke plek.

Een kwaadaardige server hield een verstuurde betaling vast, zodat die nooit het bitcoin-netwerk bereikte. Vervolgens schoof de server een vervangende transactie in de geschiedenis van de wallet: hetzelfde geld, maar naar een adres van de aanvaller. De handtekeningen van die nepversie klopten niet, alleen controleerden oudere Electrum-versies dat niet voordat ze de transactie lieten zien.

De val klapte dicht bij Replace-by-Fee (RBF), de bitcoin-functie waarmee je een onbevestigde betaling vervangt door een versie met een hogere fee. Wie dat deed, ondertekende een nieuwe en wél geldige transactie, rechtstreeks naar de dief. In het tweede gemelde geval had de nep-transactie een fee van nul, volgens de ontwikkelaars vermoedelijk om het slachtoffer tot zo'n fee bump te verleiden. Beide aanvalsadressen eindigden op dezelfde vier tekens als het echte ontvangstadres. Het lek staat beschreven in GitHub-advisory GHSA-6jp4-8v48-cc5v, meldt Bitcoin.com News.

Hardware wallet bood geen bescherming

De eerste melding laat zien hoe overtuigend de vervalsing kon zijn. Het ging om een 2-van-3 multisig met twee Trezor-apparaten en een transactie met 31 inputs en één output. Alle 62 handtekeningen waren geldig voor de oorspronkelijke betaling en ongeldig voor de vervangende versie, die vrijwel alle bitcoin naar een lookalike-adres stuurde en een klein bedrag terugboekte naar de wallet. Een hardware wallet beschermt je sleutels, niet je inschatting van wat er op het scherm staat.

Electrum erkent dat sommige servers de aanval in de praktijk uitvoerden. Hoeveel servers dat waren, hoeveel er is buitgemaakt en of er meer slachtoffers zijn, heeft het team niet bekendgemaakt.

Wat 4.8.3 wel en niet oplost

"This release fixes a critical security issue, so we urge all users to upgrade", schreef Electrum op X. Via commit 90fe308 controleert de wallet nu de handtekeningen van onbevestigde transacties die munten uit je eigen wallet uitgeven, voordat ze in de lokale geschiedenis belanden. Inkomende onbevestigde transacties vallen buiten die controle. Een full node wordt Electrum er dus niet van.

• Download de update alleen via de officiële Electrum-website. Een waarschuwing van Windows Defender over ZXing.dll is volgens Electrum vals alarm.
• Kun je niet direct updaten, controleer dan het volledige adres en het bedrag bij elke handtekening, ook bij een fee bump. Vier eindtekens zeggen niets.
• Wie uitsluitend verbindt met een vertrouwde server, bijvoorbeeld een eigen server, is volgens de advisory niet kwetsbaar voor deze aanval.

Electrum kent dit soort serverproblemen al langer. In december 2018 toonden kwaadaardige servers nep-updatemeldingen aan gebruikers, met verliezen die destijds werden geschat op bijna 1 miljoen dollar. In 2019 volgde een campagne met valse updates en DDoS-aanvallen. Toen draaide het om malafide downloads. Deze keer was de software zelf echt en loog alleen de server, en dat maakt het lastiger te herkennen.