Pengembang dompet bitcoin Electrum merilis versi 4.8.3 pada 24 Oktober 2026 untuk menutup celah yang sudah dimanfaatkan server jahat. Lewat celah ini, server Electrum milik penyerang bisa menukar transaksi yang baru dikirim pengguna dengan transaksi palsu yang mengarah ke alamat penyerang. Setidaknya satu pengguna sudah kehilangan dana. Semua versi Electrum sebelum 4.8.3 terdampak.
Cara server jahat menipu pengguna
Electrum adalah dompet ringan. Aplikasinya tidak mengunduh seluruh blockchain, melainkan meminta data riwayat transaksi ke server Electrum publik. Pengembang Electrum, SomberNight, menjelaskan dalam advisory GHSA-6jp4-8v48-cc5v bahwa server jahat dapat membuang transaksi asli pengguna, lalu menyisipkan transaksi tandingan ke riwayat dompet. Transaksi tandingan itu mengirim dana ke alamat penyerang dan sebenarnya tidak sah karena tanda tangannya tidak valid. Masalahnya, versi lama Electrum tidak memeriksa tanda tangan transaksi yang belum terkonfirmasi.
Jebakan baru bekerja ketika pengguna menaikkan biaya transaksi lewat fitur Replace-by-Fee (RBF). Transaksi palsu itu sengaja dibuat tanpa biaya agar tampak macet, sehingga pengguna terdorong menaikkan biayanya. Saat itu dompet menandatangani ulang transaksi palsu tersebut, kali ini dengan tanda tangan sah, dan dana benar-benar terkirim ke penyerang. Menurut advisory, alamat penyerang dibuat agar empat karakter terakhirnya sama dengan alamat tujuan asli.
Laporan pertama masuk secara privat pada 11 Oktober dari peneliti dannydeezy. Pada 18 Oktober, pengguna bernama Raju-K12 melaporkan kehilangan dana setelah menaikkan biaya transaksi. Electrum tidak menyebut jumlah kerugian, dan sampai sekarang celah ini belum mendapat nomor CVE. Pengembang menilai tingkat keparahannya tinggi.
Apa yang diperbaiki di versi 4.8.3
Perbaikan di versi 4.8.3 membuat Electrum memverifikasi tanda tangan pada input milik dompet sendiri sebelum transaksi yang belum terkonfirmasi dimasukkan ke riwayat. Input milik pihak lain, misalnya pembayaran masuk, masih belum divalidasi penuh. Pengembang menyebut validasi menyeluruh membutuhkan mesin konsensus yang tidak dimiliki dompet ringan. Di catatan rilisnya, tim Electrum meminta semua pengguna segera memperbarui aplikasi.
Langkah yang perlu diambil pengguna
Perbarui Electrum ke versi 4.8.3 dan unduh hanya dari situs resmi electrum.org. Tim Electrum juga mengingatkan bahwa Windows Defender bisa salah menandai file ZXing.dll di versi baru ini sebagai ancaman.
Bila belum sempat memperbarui, periksa alamat tujuan secara lengkap beserta jumlahnya setiap kali menandatangani transaksi, termasuk saat menaikkan biaya. Jangan hanya mencocokkan beberapa karakter di ujung alamat. Bila transaksi di riwayat terlihat berbeda dari yang baru Anda kirim, jangan naikkan biayanya. Pengguna yang hanya terhubung ke server Electrum milik sendiri atau server yang dipercaya tidak terpapar serangan ini.
Sumber: Electrum Security Advisory, crypto.news. Gambar: crypto.news
Tinggalkan Balasan