Bug de portefeuille Bitcoin exploité pour voler des fonds via frais accélérés

Le 26 octobre 2026, une faille critique dans le portefeuille Bitcoin Electrum a permis à des serveurs malveillants de détourner des fonds en exploitant le mécanisme de frais accélérés. Selon CoinDesk, au moins un utilisateur a confirmé avoir perdu des bitcoins, soulignant les risques persistants liés à la sécurité des infrastructures tierces dans un écosystème où la confiance repose sur des protocoles décentralisés. Contexte Electrum, l’un des portefeuilles logiciels Bitcoin les plus anciens et les plus utilisés, s’appuie sur un réseau de serveurs externes pour diffuser les transactions et récupérer l’historique des paiements. Contrairement à un nœud Bitcoin complet, qui vérifie lui-même toutes les données de la blockchain, Electrum délègue cette tâche à des tiers, une approche qui optimise la rapidité mais introduit des vulnérabilités. Le réseau Bitcoin, quant à lui, traversait une période de congestion modérée au moment de l’incident, avec plus de 43 000 transactions en attente dans la mempool et des frais moyens de 0,135 satoshi par octet (sat/vB) pour une confirmation sous trois blocs. La faille révélée le 26 octobre s’inscrit dans un contexte de tensions croissantes autour de la sécurité des portefeuilles. Les régulateurs européens, sous l’égide du règlement MiCA (Markets in Crypto-Assets), ont récemment durci les exigences en matière de transparence et de protection des utilisateurs. Parallèlement, le marché des actifs numériques affichait une relative stabilité, avec un Bitcoin évoluant autour de 61 000 dollars selon les données initiales de CoinDesk, avant que CryptoScore Pro ne révise ce chiffre à 80 053 dollars le jour même de la publication. Les faits La vulnérabilité, identifiée et corrigée le 24 octobre 2026 avec la sortie de la version 4.8.3 d’Electrum, exploitait une faille dans la gestion des transactions non confirmées. Voici les éléments clés, attribués à leurs sources : Méthode d’attaque : Les serveurs malveillants interceptaient une transaction légitime avant qu’elle ne soit diffusée sur le réseau Bitcoin. Ils la remplaçaient par une version frauduleuse, dépensant les fonds vers une adresse contrôlée par l’attaquant, avec une signature invalide que le portefeuille ne vérifiait pas. Lorsque l’utilisateur tentait d’accélérer la transaction via le mécanisme Replace-by-Fee (RBF), Electrum validait la version frauduleuse, envoyant les fonds à l’attaquant (source : CoinDesk, 26 octobre 2026). Victimes et montants : Deux signalements ont été reçus par les développeurs en octobre. Le premier, le 11 octobre, concernait un portefeuille multisignature (2 sur 3) utilisant deux dispositifs matériels Trezor. Bien que l’utilisateur ait vérifié la transaction légitime sur ses appareils, une transaction sortante différente est apparue dans l’historique du portefeuille, sans perte de fonds signalée. Le second cas, rapporté le 18 octobre, a abouti à un vol, mais ni le montant ni l’identité des serveurs malveillants n’ont été divulgués (source : CoinDesk). Correctif et recommandations : La version 4.8.3 d’Electrum a ajouté une vérification des signatures pour les transactions non confirmées dépensant des fonds du portefeuille. Les développeurs conseillent aux utilisateurs de mettre à jour leur logiciel et de vérifier systématiquement les adresses de réception et les montants avant de signer une transaction. Ceux connectés uniquement à des serveurs de confiance, y compris les leurs, n’étaient pas exposés (source : Electrum, 24 octobre 2026). Selon les données de CryptoScore Pro au 26 octobre 2026 à 05:19 UTC, le prix du Bitcoin s’établissait à 80 053 dollars, en baisse de 0,96 % sur 24 heures et de 2,97 % sur sept jours, avec une capitalisation boursière de 1 610 milliards de dollars. L’indice Crypto Fear & Greed affichait un score neutre de 50/100. Aucune variation significative du cours n’a été observée dans les heures suivant la révélation de la faille (source : CryptoScore Pro). Comprendre les notions clés Replace-by-Fee (RBF) Le Replace-by-Fee est une fonctionnalité du protocole Bitcoin qui permet à un utilisateur de remplacer une transaction non confirmée par une nouvelle version offrant des frais plus élevés. Cette option est utile lorsque le réseau est congestionné et que les mineurs priorisent les transactions les plus rémunératrices. Par exemple, si un utilisateur envoie 0,01 BTC avec des frais de 10 sat/vB mais que la transaction reste bloquée, il peut créer une nouvelle transaction pour le même montant avec des frais de 20 sat/vB. Les mineurs, attirés par la rémunération supérieure, incluront cette dernière dans le prochain bloc. Cependant, cette flexibilité introduit des risques. Dans le cas d’Electrum, les attaquants ont exploité le RBF pour inciter les utilisateurs à valider une transaction frauduleuse, en affichant une version modifiée comme "bloquée" et nécessitant une accélération. Le portefeuille, ne vérifiant pas l’authenticité de la transaction initiale, a permis à l’attaquant de détourner les fonds. Mempool et congestion du réseau La mempool (ou "mémoire de pool") est une zone temporaire où les transactions Bitcoin attendent d’être confirmées par les mineurs. Chaque nœud du réseau maintient sa propre mempool, qui peut varier en taille selon la congestion. Lorsque la mempool est saturée, comme c’était le cas le 26 octobre 2026 avec 43 420 transactions en attente, les utilisateurs doivent augmenter les frais pour que leur transaction soit traitée rapidement. Par exemple, si les frais moyens pour une confirmation en trois blocs sont de 0,135 sat/vB, une transaction avec des frais inférieurs pourrait rester en attente pendant des heures, voire des jours. Cette dynamique crée une pression sur les utilisateurs pour qu’ils ajustent leurs frais, ce qui a été exploité dans l’attaque contre Electrum : les attaquants ont présenté une transaction frauduleuse comme "bloquée" pour inciter à une accélération via RBF. Portefeuille multisignature (multisig) Un portefeuille…