Electrumサーバーがウォレットユーザーを誘導し、偽造されたゼロ手数料のBitcoin取引に署名させる

AI-assisted source summary · not independently verified. Content standards

悪意のあるElectrumサーバーが、ユーザーが直前にブロードキャストしたBitcoin取引を、類似したアドレスへの支払いとなる偽造のゼロ手数料取引に置き換え、ユーザーを誘導して手数料を上乗せさせ、署名させる。これは、旧バージョンがメモリプール取引の署名を検証していなかった高危険度の脆弱性を悪用したもの。Electrumは10月24日に4.8.3をリリースし、ウォレット自身の入力に対する署名チェックを追加するとともに、アップグレードを求めるGHSA-6jp4-8v48-cc5vのアドバイザリを公開した。アップグレードできないユーザーは、手数料の上乗せ操作を含む署名を行う前に、送金先アドレスと金額を確認すべきだ。自分で管理するサーバーにのみ接続しているユーザーは影響を受けない。