Το Electrum κυκλοφορεί την έκδοση 4.8.3 για τη διόρθωση ενός κρίσιμου κενός ασφαλείας κλοπής BTC

Το πορτοφόλι Bitcoin Electrum, ένας από τους πιο χρησιμοποιημένους ελαφρούς πελάτες (light clients) παγκοσμίως, δημοσίευσε στις 24 Οκτωβρίου 2026 μια κρίσιμη ενημέρωση (έκδοση 4.8.3) για τη διόρθωση ενός κενός ασφαλείας που επέτρεπε την κλοπή bitcoins. Αυτή η ευπάθεια, η οποία ταξινόμησε ως «υψηλή» από τους ειδικούς, εκθέτει δυνητικά τα κεφάλαια περισσότερων από ενός εκατομμυρίου χρηστών, υπενθυμίζοντας τους εγγενείς κινδύνους των λογισμικών μη φύλαξης (non-custodial) σε ένα οικοσύστημα όπου η ασφάλεια παραμένει κύριο ζήτημα. Πλαίσιο Το Electrum, που αναπτύσσεται από το 2011 από μια ομάδα με έδρα την Ελβετία, είναι ένα ελαφρύ πορτοφόλι (SPV) που επιτρέπει στους χρήστες να διαχειρίζονται τα bitcoins τους χωρίς να κατεβάζουν ολόκληρο το blockchain. Σε αντίθεση με τα πλήρη πορτοφόλια όπως το Bitcoin Core, το Electrum βασίζεται σε τρίτους διακομιστές για την επικύρωση των συναλλαγών, μια προσέγγιση που μειώνει τις τεχνικές απαιτήσεις αλλά εισάγει εξωτερικές εξαρτήσεις. Σύμφωνα με τα δεδομένα του CryptoScore Pro έως τις 25 Οκτωβρίου 2026, το λογισμικό έχει περίπου 1,2 εκατομμύρια μηνιαίους ενεργούς χρήστες, δηλαδή σχεδόν 0,03% των ενεργών διευθύνσεων Bitcoin. Το κενό που διορθώθηκε εντάσσεται σε ένα πλαίσιο αυξημένης επαγρύπνησης γύρω από τα ελαφρά πορτοφόλια, των οποίων οι ευπάθειες έχουν ήδη εκμεταλλευτεί στο παρελθόν. Το 2023, μια παρόμοια επίθεση είχε στοχεύσει χρήστες κινητών πορτοφολιών, προκαλώντας απώλειες που εκτιμώνται σε αρκετά εκατομμύρια δολάρια. Επιπλέον, η αγορά του Bitcoin, αν και λιγότερο μεταβλητή από ό,τι το 2024, παραμένει ευαίσθητη σε ανακοινώσεις ασφαλείας: η τιμή του BTC υποχώρησε κατά 0,4% την ημέρα της δημοσίευσης της ενημέρωσης, σύμφωνα με τα δεδομένα του CryptoScore Pro. Τα γεγονότα Η ευπάθεια, η οποία ταυτοποιήθηκε ως σφάλμα τύπου «man-in-the-middle», επέτρεπε σε έναν κακόβουλο διακομιστή να υποκλέπτει τα αιτήματα των χρηστών και να αντικαθιστά τη διεύθυνση προορισμού μιας συναλλαγής με μια διεύθυνση που ελέγχεται από τον επιτιθέμενο. Σύμφωνα με την επίσημη ειδοποίηση ασφαλείας του Electrum, αυτό το κενό επηρέαζε όλες τις εκδόσεις προγενέστερες της 4.8.3, συμπεριλαμβανομένης της 4.8.2, η οποία ήταν ευρέως διαδεδομένη στην γαλλόφωνη κοινότητα. Σημαντικές ημερομηνίες και αριθμοί : 24 Οκτωβρίου 2026: δημοσίευση της έκδοσης 4.8.3 για Windows, macOS και Linux, διαθέσιμη στο electrum.org . 11 και 18 Οκτωβρίου 2026: δύο αναφορές επιθέσεων που εκμεταλλεύτηκαν το κενό ασφαλείας, μία εκ των οποίων οδήγησε σε απώλεια κεφαλαίων για έναν χρήστη. Βαθμολογία CVSS πάνω από 7,0, χαρακτηρίζοντας την ευπάθεια ως «υψηλής» σοβαρότητας. 1,2 εκατομμύρια μηνιακοί ενεργοί χρήστες (πηγή: CryptoScore Pro, δεδομένα έως 25 Οκτωβρίου 2026). Μηχανισμός της επίθεσης : Ένας παραβιασμένος διακομιστής συγκρατούσε μια νόμιμη συναλλαγή και την αντικαθιστούσε με μια πλαστή συναλλαγή, η οποία εμφανιζόταν στο ιστορικό του πορτοφολιού. Οι πλαστές διευθύνσεις μιμούμεναν τους τέσσερις τελευταίους χαρακτήρες της διεύθυνσης του νόμιμου παραλήπτη για να εξαπατήσουν τον χρήστη. Η λειτουργία Replace-by-Fee (RBF), η οποία επιτρέπει την αύξηση των τελών μιας συναλλαγής, θα μπορούσε να χρησιμοποιηθεί κατάχρηστα για την επικύρωση της πλαστής συναλλαγής. Απάντηση των προγραμματιστών : Ο Thomas Vasquez, κύριος προγραμματιστής του Electrum, συνέστησε άμεση ενημέρωση και δημοσίευσε έναν οδηγό μετάβασης στο επίσημο φόρουμ. Η έκδοση 4.8.3 εισάγει έλεγχο υπογραφών για μη επιβεβαιωμένες συναλλαγές και αμοιβαία ταυτοποίηση TLS για τις συνδέσεις στους διακομιστές. Οι χρήστες που είναι συνδεδεμένοι στον δικό τους έμπιστο διακομιστή δεν εκτίθενται σε αυτό το κενό ασφαλείας. Κανένα περιστατικό μαζικής απώλειας κεφαλαίων δεν έχει επιβεβαιωθεί μέχρι στιγμής, αλλά οι προγραμματιστές τονίζουν ότι η έλλειψη δημόσιων στοιχείων για τον ακριβή αριθμό των πληττόμενων χρηστών περιορίζει την αξιολόγηση της πραγματικής έκθεσης. Επιπλέον, μια προειδοποίηση για phishing που στοχεύει τους χρήστες του Electrum αναφέρθηκε στα μέσα κοινωνικής δικτύωσης, χωρίς να έχει τεκμηριωθεί η σύνδεσή της με το κενό ασφαλείας. Κατανόηση βασικών εννοιών Ελαφρύ πορτοφόλι (SPV) Ένα ελαφρύ πορτοφόλι, ή Simplified Payment Verification (SPV), είναι ένα λογισμικό που επιτρέπει τη διαχείριση κρυπτονομισμάτων χωρίς τη λήψη ολόκληρου του blockchain. Σε αντίθεση με έναν πλήρη κόμβο (full node), ο οποίος αποθηκεύει και επαληθεύει όλες τις συναλλαγές από τη δημιουργία του δικτύου, ένα πορτοφόλι SPV ερωτά τρίτους διακομιστές για να λάβει τις απαραίτητες πληροφορίες (όπως τα υπόλοιπα ή τις εκκρεμείς συναλλαγές). Για παράδειγμα, το Electrum χρησιμοποιεί αυτό το σύστημα για να προσφέρει μια ταχύτερη εμπειρία χρήστη με λιγότερες απαιτήσεις πόρων. Ωστόσο, αυτή η προσέγγιση βασίζεται στην εμπιστοσύνη προς τους διακομιστές, γεγονός που μπορεί να εκθέτει τους χρήστες σε κινδύνους χειραγώγησης, όπως στην περίπτωση της διορθωμένης ευπάθειας. Man-in-the-middle (MITM) Μια επίθεση τύπου man-in-the-middle (MITM) συμβαίνει όταν ένας επιτιθέμενος παρεμβαίνει ανάμεσα σε δύο επικοινωνούντα μέρη (εδώ, έναν χρήστη και έναν διακομιστή Electrum) για να υποκλέψει, να τροποποιήσει ή να ανακατευθύνει τα δεδομένα που ανταλλάσσονται. Στην περίπτωση του Electrum, ο επιτιθέμενος θα μπορούσε να αντικαταστήσει τη διεύθυνση προορισμού μιας συναλλαγής με τη δική του, χωρίς ο χρήστης να το αντιληφθεί. Αυτός ο τύπος επίθεσης είναι ιδιαίτερα επικίνδυνος σε αποκεντρωμένα δίκτυα, όπου η έλλειψη κεντρικού έμπιστου τρίτου καθιστά την ανίχνευση απάτης πιο περίπλοκη. Ένα συγκεκριμένο παράδειγμα θα ήταν ένας χάκερ που υποκλέπτει μια συναλλαγή 1 BTC προς μια νόμιμη διεύθυνση και την ανακατευθύνει στο δικό του πορτοφόλι. Replace-by-Fee (RBF) Η λειτουργία Replace-by-Fee (RBF) είναι ένας μηχανισμός του πρωτοκόλλου Bitcoin που επιτρέπει σε έναν χρήστη να αυξήσει τα τέλη μιας μη επιβεβαιωμένης συναλλαγής για να επιταχύνει την επεξεργασία της από το δίκτυο. Για παράδειγμα, εάν μια συναλλαγή καθυστερεί να επικυρωθεί λόγω πολύ χαμηλών τελών, ο χρήστης μπορεί να δημιουργήσει μια νέα έκδοση αυτής της συναλλαγής με υψηλότερα…