Electrum tiết lộ lỗ hổng nghiêm trọng bị khai thác ngoài thực tế, người dùng mất tiền

Việc Electrum tiết lộ thông tin làm thay đổi một giả định lâu nay về niềm tin vào ví: rủi ro ở đây không phải là sơ đồ chữ ký bị phá vỡ mà là một máy chủ độc hại thao túng lịch sử giao dịch mà người dùng nhìn thấy, khiến một hành động tăng phí hợp pháp (RBF) trở thành bước ký giao dịch chuyển tiền cho kẻ tấn công. Các yếu tố đã được xác nhận gồm tư vấn mức độ nghiêm trọng cao bao trùm tất cả các phiên bản trước 4.8.3, việc một số máy chủ khai thác ngoài thực tế, và hai trường hợp được báo cáo với một trường hợp mất tiền được xác nhận; số tiền vẫn chưa được tiết lộ. Đường lây lan hẹp nhưng sắc bén, nhắm vào người dùng trên các máy chủ công cộng hoặc bên thứ ba, những người tăng phí mà không xác minh lại người nhận, trong khi người dùng máy chủ tự lưu trữ không bị ảnh hưởng. Cần theo dõi liệu nhóm Electrum có công bố danh sách đen máy chủ hoặc công cụ phát hiện hay không, liệu các ví nhẹ khác có thiết kế hiển thị lịch sử tương tự có kiểm tra luồng RBF của họ hay không, và liệu hai trường hợp được báo cáo có phát triển thành một bảng tổng hợp thiệt hại rộng hơn hay không.