Un serveur de portefeuille Bitcoin malveillant<\/strong> pourrait discr\u00e8tement \u00e9changer un paiement l\u00e9gitime contre une transaction d’un voleur, puis attendre que son propri\u00e9taire approuve le vol. Le dernier correctif de s\u00e9curit\u00e9 d’Electrum<\/strong> comble cette faille apr\u00e8s que des attaquants ont exploit\u00e9 la vuln\u00e9rabilit\u00e9 pour voler des fonds. Electrum a publi\u00e9 la version 4.8.3<\/strong> samedi, avertissant les utilisateurs de mettre \u00e0 jour imm\u00e9diatement apr\u00e8s que les d\u00e9veloppeurs ont d\u00e9couvert que des serveurs malveillants exploitaient une vuln\u00e9rabilit\u00e9 de haute gravit\u00e9 affectant toutes les versions ant\u00e9rieures.<\/p>\n La faille, document\u00e9e dans l’avis GitHub GHSA-6jp4-8v48-cc5v<\/strong>, exploitait la mani\u00e8re dont le portefeuille Bitcoin l\u00e9ger g\u00e8re les transactions non confirm\u00e9es. Electrum s’appuie sur des serveurs externes pour les historiques de transactions, les estimations de frais et la diffusion des paiements. Bien qu’il v\u00e9rifie ind\u00e9pendamment les transactions confirm\u00e9es, les anciennes versions acceptaient certaines transactions non confirm\u00e9es sans v\u00e9rifier leurs signatures. Les attaquants ont transform\u00e9 cette distinction en un pi\u00e8ge.<\/p>\n Un serveur compromis pouvait intercepter un paiement l\u00e9gitime, emp\u00eacher sa diffusion et substituer une transaction frauduleuse dirigeant des fonds vers une adresse Bitcoin contr\u00f4l\u00e9e par l’attaquant.<\/p>\n<\/blockquote>\n Le remplacement portait des signatures invalides, mais Electrum l’affichait comme un paiement en attente ordinaire. Le stratag\u00e8me est devenu dangereux lorsque les utilisateurs ont tent\u00e9 d’augmenter les frais de transaction via Replace-By-Fee (RBF)<\/strong>. Plut\u00f4t que d’augmenter les frais de leur paiement original, les victimes pouvaient involontairement signer la transaction substitu\u00e9e, autorisant ainsi le transfert de leur propre Bitcoin vers l’attaquant.<\/p>\n La tromperie allait plus loin : les attaquants g\u00e9n\u00e9raient des adresses de r\u00e9ception dont les quatre derniers caract\u00e8res correspondaient \u00e0 la destination pr\u00e9vue, rendant une comparaison rapide des adresses moins susceptible de r\u00e9v\u00e9ler l’\u00e9change. Une transaction frauduleuse portait m\u00eame des frais nuls, encourageant apparemment sa victime \u00e0 initier le m\u00eame ajustement de frais n\u00e9cessaire pour compl\u00e9ter le vol.<\/p>\n Les d\u00e9veloppeurs ont re\u00e7u deux rapports priv\u00e9s. Le 11 octobre<\/strong>, l’utilisateur dannydeezy<\/em> a signal\u00e9 une substitution de transaction, bien que le m\u00e9canisme d’augmentation des frais n’ait pas \u00e9t\u00e9 enti\u00e8rement compris. Le 18 octobre<\/strong>, Raju-K12<\/em> a signal\u00e9 avoir perdu des fonds apr\u00e8s avoir approuv\u00e9 une augmentation des frais. Ce deuxi\u00e8me rapport a \u00e9tabli que l’attaque n’\u00e9tait pas simplement th\u00e9orique.<\/p>\n Le correctif, introduit par le commit 90fe308<\/strong>, exige qu’Electrum v\u00e9rifie les signatures pour les transactions non confirm\u00e9es d\u00e9pensant des pi\u00e8ces appartenant au portefeuille. Les transactions frauduleuses avec des signatures invalides sont d\u00e9sormais rejet\u00e9es avant d’entrer dans l’historique local du portefeuille.<\/p>\n Les utilisateurs ex\u00e9cutant des versions ant\u00e9rieures \u00e0 4.8.3<\/strong> doivent t\u00e9l\u00e9charger la mise \u00e0 jour exclusivement depuis electrum.org<\/em> et v\u00e9rifier ses signatures cryptographiques. Jusqu’\u00e0 la mise \u00e0 jour, les utilisateurs doivent inspecter soigneusement chaque adresse de destination et montant de paiement avant de signer, y compris lors des ajustements de frais. Ceux qui se connectent exclusivement \u00e0 des serveurs Electrum de confiance et auto-h\u00e9berg\u00e9s ne sont pas expos\u00e9s \u00e0 cette attaque particuli\u00e8re bas\u00e9e sur le serveur.<\/p>\n Cet incident expose une contradiction curieuse : un portefeuille con\u00e7u pour prot\u00e9ger les cl\u00e9s priv\u00e9es pourrait encore \u00eatre manipul\u00e9 pour demander une signature parfaitement valide pour un paiement que son propri\u00e9taire n’avait jamais l’intention de faire. Par ailleurs, le fabricant de portefeuilles mat\u00e9riels Keystone<\/strong> a r\u00e9v\u00e9l\u00e9 une violation de donn\u00e9es clients samedi, apr\u00e8s un acc\u00e8s non autoris\u00e9 \u00e0 son site Web ayant expos\u00e9 des noms, des adresses d’exp\u00e9dition et d’autres informations sensibles.<\/p>\n","protected":false},"excerpt":{"rendered":" Vuln\u00e9rabilit\u00e9 des serveurs de portefeuille Bitcoin Un serveur de portefeuille Bitcoin malveillant pourrait discr\u00e8tement \u00e9changer un paiement l\u00e9gitime contre une transaction d’un voleur, puis attendre que son propri\u00e9taire approuve le vol. Le dernier correctif de s\u00e9curit\u00e9 d’Electrum comble cette faille apr\u00e8s que des attaquants ont exploit\u00e9 la vuln\u00e9rabilit\u00e9 pour voler des fonds. Electrum a publi\u00e9 la version 4.8.3 samedi, avertissant les utilisateurs de mettre \u00e0 jour imm\u00e9diatement apr\u00e8s que les d\u00e9veloppeurs ont d\u00e9couvert que des serveurs malveillants exploitaient une vuln\u00e9rabilit\u00e9 de haute gravit\u00e9 affectant toutes les versions ant\u00e9rieures. D\u00e9tails de la faille La faille, document\u00e9e dans l’avis GitHub GHSA-6jp4-8v48-cc5v, exploitait<\/p>\n","protected":false},"author":3,"featured_media":19713,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,64],"tags":[11,9542,1338,65,11173],"class_list":["post-19714","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bitcoin","category-hack","tag-bitcoin","tag-electrum","tag-github","tag-hack","tag-rbf"],"yoast_description":"D\u00e9couvrez comment une vuln\u00e9rabilit\u00e9 majeure d'Electrum Wallet a conduit \u00e0 un vol de Bitcoin dissimul\u00e9 derri\u00e8re des augmentations de frais de transaction, entra\u00eenant des mises \u00e0 jour de s\u00e9curit\u00e9 urgentes.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/19714","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/comments?post=19714"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/19714\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media\/19713"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media?parent=19714"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/categories?post=19714"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/tags?post=19714"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}D\u00e9tails de la faille<\/h2>\n
\n
Rapports et correctif<\/h2>\n
Recommandations pour les utilisateurs<\/h2>\n
Conclusion<\/h2>\n