Electrum publikuje wersję 4.8.3, aby naprawić krytyczną lukę umożliwiającą kradzież BTC

Portfel Bitcoin Electrum, jeden z najczęściej używanych lekkich klientów na świecie, opublikował 24 października 2026 r. krytyczną aktualizację (wersja 4.8.3) w celu naprawienia luki bezpieczeństwa umożliwiającej kradzież bitcoinów. Podatność ta, sklasyfikowana przez ekspertów jako „wysoka”, potencjalnie naraża środki ponad miliona użytkowników, przypominając o ryzykach nieodłącznie związanych z niepowierniczymi rozwiązaniami programowymi w ekosystemie, w którym bezpieczeństwo pozostaje kluczową kwestią. Kontekst Electrum, rozwijany od 2011 roku przez zespół z siedzibą w Szwajcarii, jest lekkim portfelem (SPV), który pozwala użytkownikom zarządzać swoimi bitcoinami bez pobierania całego blockchaina. W przeciwieństwie do pełnych portfeli, takich jak Bitcoin Core, Electrum opiera się na serwerach zewnętrznych w celu walidacji transakcji, co zmniejsza wymagania techniczne, ale wprowadza zewnętrzne zależności. Według danych CryptoScore Pro z 25 października 2026 r., oprogramowanie posiada około 1,2 miliona aktywnych użytkowników miesięcznie, co stanowi blisko 0,03% aktywnych adresów Bitcoin. Naprawiona luka pojawia się w kontekście zwiększonej czujności wokół lekkich portfeli, których podatności były już w przeszłości wykorzystywane. W 2023 roku podobny atak wymierzony był w użytkowników portfeli mobilnych, co doprowadziło do strat szacowanych na kilka milionów dolarów. Ponadto rynek Bitcoin, choć mniej zmienny niż w 2024 roku, pozostaje wrażliwy na komunikaty dotyczące bezpieczeństwa: kurs BTC spadł o 0,4% w dniu publikacji aktualizacji, zgodnie z danymi CryptoScore Pro. Fakty Podatność, zidentyfikowana jako błąd typu „man-in-the-middle”, pozwalała złośliwemu serwerowi na przechwytywanie zapytań użytkowników i zastępowanie adresu docelowego transakcji adresem kontrolowanym przez atakującego. Zgodnie z oficjalnym komunikatem bezpieczeństwa Electrum, luka ta dotyczyła wszystkich wersji wcześniejszych niż 4.8.3, w tym wersji 4.8.2, szeroko rozpowszechnionej w społeczności francuskojęzycznej. Kluczowe daty i liczby : 24 października 2026: publikacja wersji 4.8.3 dla systemów Windows, macOS i Linux, dostępna na stronie electrum.org . 11 i 18 października 2026: dwa zgłoszenia ataków wykorzystujących lukę, z czego jeden doprowadził do utraty środków przez użytkownika. Wynik CVSS powyżej 7,0, co klasyfikuje podatność jako o „wysokiej” powadze. 1,2 miliona aktywnych użytkowników miesięcznie (źródło: CryptoScore Pro, dane z 25 października 2026). Mechanizm ataku : Skompromitowany serwer wstrzymywał legalną transakcję i zastępował ją transakcją oszukańczą, wyświetlaną w historii portfela. Oszukańcze adresy naśladowały cztery ostatnie znaki adresu legalnego odbiorcy, aby zmylić użytkownika. Funkcja Replace-by-Fee (RBF), umożliwiająca zwiększenie opłaty za transakcję, mogła zostać wykorzystana do zatwierdzenia oszukańczej transakcji. Reakcja programistów : Thomas Vasquez, główny programista Electrum, zalecił natychmiastową aktualizację i opublikował przewodnik migracji na oficjalnym forum. Wersja 4.8.3 wprowadza weryfikację podpisów niepotwierdzonych transakcji oraz wzajemne uwierzytelnianie TLS dla połączeń z serwerami. Użytkownicy połączeni z własnym, zaufanym serwerem nie są narażeni na tę lukę. Do chwili obecnej nie potwierdzono żadnych incydentów masowej utraty środków, jednak programiści podkreślają, że brak publicznych danych na temat dokładnej liczby dotkniętych użytkowników ogranicza ocenę rzeczywistej ekspozycji. Ponadto w mediach społecznościowych zgłoszono ostrzeżenie przed phishingiem wymierzonym w użytkowników Electrum, bez ustalenia związku z tą luką. Zrozumienie kluczowych pojęć Lekki portfel (SPV) Lekki portfel, czyli Simplified Payment Verification (SPV), to oprogramowanie umożliwiające zarządzanie kryptowalutami bez konieczności pobierania całego blockchaina. W przeciwieństwie do pełnego węzła, który przechowuje i weryfikuje wszystkie transakcje od momentu powstania sieci, portfel SPV odpytuje serwery zewnętrzne w celu uzyskania niezbędnych informacji (takich jak salda czy oczekujące transakcje). Na przykład Electrum wykorzystuje ten system, aby zapewnić szybsze i mniej zasobożerne doświadczenie użytkownika. Podejście to opiera się jednak na zaufaniu do serwerów, co może narażać użytkowników na ryzyko manipulacji, jak miało to miejsce w przypadku naprawionej luki. Man-in-the-middle (MITM) Atak typu man-in-the-middle (MITM) polega na tym, że napastnik wstawia się pomiędzy dwie komunikujące się strony (w tym przypadku użytkownika i serwer Electrum), aby przechwytywać, modyfikować lub przekierowywać wymieniane dane. W przypadku Electrum napastnik mógł podmienić adres docelowy transakcji na swój własny, bez wiedzy użytkownika. Ten rodzaj ataku jest szczególnie niebezpieczny w sieciach zdecentralizowanych, gdzie brak centralnego, zaufanego pośrednika utrudnia wykrywanie oszustw. Konkretnym przykładem byłoby przechwycenie przez hakera transakcji o wartości 1 BTC do legalnego adresu i przekierowanie jej do jego własnego portfela. Replace-by-Fee (RBF) Funkcja Replace-by-Fee (RBF) to mechanizm protokołu Bitcoin, który pozwala użytkownikowi zwiększyć opłatę za niepotwierdzoną transakcję, aby przyspieszyć jej przetworzenie przez sieć. Na przykład, jeśli transakcja trwa zbyt długo z powodu zbyt niskich opłat, użytkownik może utworzyć nową wersję tej transakcji z wyższą opłatą, która zastąpi poprzednią. Funkcja ta może jednak zostać nadużyta: w przypadku luki w Electrum napastnik wykorzystał RBF, aby skłonić użytkownika do podpisania oszukańczej transakcji poprzez zwiększenie opłaty za fałszywą transakcję, co w efekcie doprowadziło do kradzieży środków. Wzajemne uwierzytelnianie TLS Wzajemne uwierzytelnianie TLS (Transport Layer Security) to protokół bezpieczeństwa, który gwarantuje, że obie strony komunikacji (w tym przypadku portfel Electrum i jego serwer) uwierzytelniają się wzajemnie przed wymianą danych. W przeciwieństwie do klasycznego TLS, w którym tylko serwer potwierdza swoją tożsamość,…