Electrumの脆弱性、不正サーバーがRBFでビットコインを窃取

ビットコインのソフトウェアウォレット「Electrum」で、不正なサーバーが偽の未承認取引を差し込み、ユーザーが送金の高速化を試みた際に攻撃者宛ての支払いに署名させる脆弱性が見つかった。開発チームは、少なくとも1件で資金が盗まれたと確認している。公表は土曜日で、一部のサーバーがすでに悪用していたという。

攻撃の仕組み

Electrumはフルノードと異なり、取引履歴の取得や送金のブロードキャストを外部サーバーに頼る。修正前は、未承認取引についてサーバーの報告を信頼し、署名の検証を行っていなかった。

攻撃者がサーバーを支配していれば、送金がネットワークに届く前に傍受し、ウォレットの履歴上で偽の取引にすり替えられる。この偽取引はユーザーの資金を攻撃者のアドレスへ送るもので、無効な署名が付いていたがElectrumは見抜けなかった。

罠が作動するのは、ユーザーがReplace-by-Fee(RBF)を選んだときだ。RBFは未承認取引をより高い手数料の版で置き換える仕組みで、Electrumは偽取引をもとに有効な置換取引へ署名し、資金を攻撃者に送ってしまう。ある事例では偽取引の手数料がゼロで、滞留しているように見えた。また、正規の宛先と末尾4文字が一致するアドレスが生成され、簡単な確認では気づきにくかった。

報告と対応

最初の報告は10月11日。Trezor2台を使う3分の2マルチシグのウォレットで、利用者は正規の支払いを両デバイスで確認したが、後に履歴に別の送金があるのに気づいた。この利用者は資金を失ったとは報告していない。10月18日には、すり替えられた取引の手数料を引き上げて資金を失ったとする2件目の報告があった。被害額や不正サーバーの運営者は公表されていない。

10月24日、開発チームは自分のウォレットのコインを使う未承認取引の署名を検証するバージョン4.8.3を公開した。最初の盗難報告から6日後の対応だ。ただし旧バージョンは、不正サーバーに接続すると同様の攻撃を受ける恐れがある。

開発者はアップデートに加え、署名前に受取アドレスと金額を確認するよう勧めている。自前のサーバーを含め、信頼できるサーバーのみに接続していた利用者は影響を受けなかった。