Bitcoin-wallet bug misbruikt om fondsen te stelen via versnelde transactiekosten

Op 26 oktober 2026 maakte een kritieke kwetsbaarheid in de Bitcoin-wallet Electrum het mogelijk dat kwaadwillige servers geld konden onttrekken door misbruik te maken van het mechanisme voor versnelde transactiekosten. Volgens CoinDesk heeft minstens één gebruiker bevestigd bitcoins te zijn kwijtgeraakt, wat de aanhoudende risico's benadrukt die verbonden zijn aan de beveiliging van infrastructuur van derden in een ecosysteem waarin vertrouwen rust op gedecentraliseerde protocollen. Context Electrum, een van de oudste en meest gebruikte softwarewallets voor Bitcoin, vertrouwt op een netwerk van externe servers om transacties uit te zenden en de betalingsgeschiedenis op te halen. In tegenstelling tot een volledige Bitcoin-node, die alle blockchaingegevens zelf verifieert, delegeert Electrum deze taak aan derden. Die aanpak zorgt voor snelheid, maar introduceert kwetsbaarheden. Het Bitcoin-netwerk kampte op het moment van het incident met een matige congestie, met meer dan 43.000 transacties in de mempool en gemiddelde kosten van 0,135 satoshi per byte (sat/vB) voor bevestiging binnen drie blokken. De kwetsbaarheid die op 26 oktober aan het licht kwam, past in een context van toenemende spanningen rond de beveiliging van wallets. Europese toezichthouders hebben onder de paraplu van de MiCA-verordening (Markets in Crypto-Assets) onlangs de eisen op het gebied van transparantie en gebruikersbescherming aangescherpt. Tegelijkertijd vertoonde de markt voor digitale activa een relatieve stabiliteit, met een Bitcoin-koers rond 61.000 dollar volgens de eerste gegevens van CoinDesk, voordat CryptoScore Pro dit cijfer op de dag van publicatie herzag naar 80.053 dollar. De feiten De kwetsbaarheid, geïdentificeerd en verholpen op 24 oktober 2026 met de release van Electrum-versie 4.8.3, maakte misbruik van een fout in het beheer van onbevestigde transacties. Dit zijn de belangrijkste elementen, met vermelding van hun bronnen: Aanvalsmethode : Kwaadwillige servers onderschepten een legitieme transactie voordat die op het Bitcoin-netwerk werd uitgezonden. Ze vervingen deze door een frauduleuze versie, waarbij de fondsen naar een door de aanvaller beheerd adres werden gestuurd, met een ongeldige handtekening die de wallet niet controleerde. Wanneer de gebruiker probeerde de transactie te versnellen via het Replace-by-Fee (RBF)-mechanisme, valideerde Electrum de frauduleuze versie, waardoor de fondsen naar de aanvaller werden gestuurd (bron: CoinDesk, 26 oktober 2026). Slachtoffers en bedragen : De ontwikkelaars ontvingen in oktober twee meldingen. De eerste, op 11 oktober, betrof een multisignature-wallet (2 van 3) die twee Trezor-hardwareapparaten gebruikte. Hoewel de gebruiker de legitieme transactie op zijn apparaten had gecontroleerd, verscheen er een andere uitgaande transactie in de wallet-geschiedenis, zonder gemelde verlies van fondsen. Het tweede geval, gemeld op 18 oktober, resulteerde in een diefstal, maar noch het bedrag noch de identiteit van de kwaadwillige servers werden bekendgemaakt (bron: CoinDesk). Oplossing en aanbevelingen : Versie 4.8.3 van Electrum voegde een handtekeningcontrole toe voor onbevestigde transacties die fondsen uit de wallet uitgeven. De ontwikkelaars adviseren gebruikers om hun software bij te werken en altijd de ontvangstadressen en bedragen te controleren voordat ze een transactie ondertekenen. Wie uitsluitend verbonden was met vertrouwde servers, inclusief hun eigen servers, was niet blootgesteld (bron: Electrum, 24 oktober 2026). Volgens gegevens van CryptoScore Pro op 26 oktober 2026 om 05:19 UTC bedroeg de prijs van Bitcoin 80.053 dollar, een daling van 0,96% over 24 uur en 2,97% over zeven dagen, met een marktkapitalisatie van 1.610 miljard dollar. De Crypto Fear & Greed-index stond op een neutrale score van 50/100. In de uren na de onthulling van de kwetsbaarheid werd geen significante koersverandering waargenomen (bron: CryptoScore Pro). De belangrijkste begrippen begrijpen Replace-by-Fee (RBF) Het Replace-by-Fee is een functie van het Bitcoin-protocol waarmee een gebruiker een onbevestigde transactie kan vervangen door een nieuwe versie met hogere kosten. Deze optie is nuttig wanneer het netwerk verstopt is en miners de transacties met de hoogste vergoeding prioriteit geven. Als een gebruiker bijvoorbeeld 0,01 BTC verstuurt met een vergoeding van 10 sat/vB maar de transactie vastloopt, kan hij een nieuwe transactie voor hetzelfde bedrag aanmaken met een vergoeding van 20 sat/vB. Miners, aangetrokken door de hogere vergoeding, zullen deze in het volgende blok opnemen. Deze flexibiliteit brengt echter risico's met zich mee. In het geval van Electrum hebben aanvallers RBF misbruikt om gebruikers ertoe te bewegen een frauduleuze transactie te bevestigen, door een gewijzigde versie als "vastgelopen" weer te geven die versnelling vereist. De portemonnee controleerde de authenticiteit van de oorspronkelijke transactie niet, waardoor de aanvaller de fondsen kon omleiden. Mempool en netwerkcongestie De mempool (of "geheugenpool") is een tijdelijke zone waarin Bitcoin-transacties wachten om door miners bevestigd te worden. Elk knooppunt in het netwerk onderhoudt zijn eigen mempool, waarvan de omvang kan variëren afhankelijk van de congestie. Wanneer de mempool verzadigd is, zoals op 26 oktober 2026 met 43 420 wachtende transacties, moeten gebruikers de vergoedingen verhogen zodat hun transactie snel wordt verwerkt. Als de gemiddelde vergoeding voor een bevestiging binnen drie blokken bijvoorbeeld 0,135 sat/vB bedraagt, kan een transactie met een lagere vergoeding uren of zelfs dagen blijven wachten. Deze dynamiek zet gebruikers onder druk om hun vergoedingen aan te passen, wat werd uitgebuit in de aanval op Electrum: aanvallers presenteerden een frauduleuze transactie als "vastgelopen" om tot versnelling via RBF aan te zetten. Multisignature-portemonnee (multisig) Een multisignature -portemonnee (of "multisig") vereist meerdere handtekeningen om een transactie…