Electrum випускає версію 4.8.3 для виправлення критичної вразливості крадіжки BTC

Біткоїн-гаманець Electrum, один із найпопулярніших легких клієнтів у світі, 24 жовтня 2026 року випустив критичне оновлення (версія 4.8.3) для усунення вразливості в системі безпеки, яка дозволяла викрадати біткоїни. Ця вразливість, класифікована експертами як «висока», потенційно ставить під загрозу кошти понад мільйона користувачів, нагадуючи про ризики, притаманні некастодіальним програмним рішенням в екосистемі, де безпека залишається головною проблемою. Контекст Electrum, розроблений з 2011 року командою зі Швейцарії, є легким гаманцем (SPV), який дозволяє користувачам керувати своїми біткоїнами без завантаження всього блокчейну. На відміну від повноцінних гаманців, таких як Bitcoin Core, Electrum покладається на сторонні сервери для підтвердження транзакцій — підхід, який знижує технічні вимоги, але створює зовнішні залежності. Згідно з даними CryptoScore Pro станом на 25 жовтня 2026 року, програмне забезпечення має близько 1,2 мільйона активних користувачів на місяць, що становить майже 0,03% активних Bitcoin-адрес. Виправлена вразливість з'явилася на тлі підвищеної пильності щодо легких гаманців, чиї слабкі місця вже експлуатувалися в минулому. У 2023 році схожа атака була спрямована на користувачів мобільних гаманців, що призвело до втрат, які оцінюються в кілька мільйонів доларів. Крім того, ринок Bitcoin, хоча і став менш волатильним, ніж у 2024 році, залишається чутливим до повідомлень про безпеку: курс BTC впав на 0,4% у день публікації оновлення, згідно з даними CryptoScore Pro. Факти Вразливість, ідентифікована як баг типу «man-in-the-middle» (людина посередині), дозволяла шкідливому серверу перехоплювати запити користувачів і замінювати адресу призначення транзакції адресою, що контролюється зловмисником. Згідно з офіційним повідомленням Electrum про безпеку, ця проблема стосувалася всіх версій до 4.8.3, включаючи 4.8.2, яка була широко розповсюджена серед франкомовної спільноти. Дати та ключові цифри : 24 жовтня 2026 року : випуск версії 4.8.3 для Windows, macOS та Linux, доступної на electrum.org . 11 та 18 жовтня 2026 року : два повідомлення про атаки, що експлуатують вразливість, одна з яких призвела до втрати коштів користувача. Оцінка CVSS вище 7,0, що кваліфікує вразливість як таку, що має «високу» серйозність. 1,2 мільйона щомісячних активних користувачів (джерело : CryptoScore Pro, дані станом на 25 жовтня 2026 року). Механізм атаки : Скомпрометований сервер утримував легітимну транзакцію і замінював її шахрайською транзакцією, що відображалася в історії гаманця. Шахрайські адреси імітували останні чотири символи адреси легітимного одержувача, щоб обманути користувача. Функція Replace-by-Fee (RBF), що дозволяє збільшити комісію транзакції, могла бути використана для підтвердження шахрайської транзакції. Відповідь розробників : Томас Васкес, головний розробник Electrum, рекомендував негайне оновлення та опублікував посібник з міграції на офіційному форумі. Версія 4.8.3 запроваджує перевірку підписів непідтверджених транзакцій та взаємну автентифікацію TLS для підключень до серверів. Користувачі, підключені до власного довіреного сервера, не наражаються на цю вразливість. Масових втрат коштів на даний момент не підтверджено, однак розробники наголошують, що відсутність публічних даних про точну кількість постраждалих користувачів ускладнює оцінку реальної загрози. Крім того, у соціальних мережах було повідомлено про фішингове попередження, спрямоване на користувачів Electrum, однак його зв’язок із вразливістю не встановлено. Розуміння ключових понять Легкий гаманець (SPV) Легкий гаманець, або Simplified Payment Verification (SPV), — це програмне забезпечення, яке дозволяє керувати криптовалютами без завантаження всього блокчейну. На відміну від повного вузла, який зберігає та перевіряє всі транзакції з моменту створення мережі, SPV-гаманець запитує сторонні сервери, щоб отримати необхідну інформацію (наприклад, баланси або транзакції в очікуванні). Наприклад, Electrum використовує цю систему, щоб запропонувати користувачу швидший і менш ресурсомісткий досвід. Однак такий підхід ґрунтується на довірі до серверів, що може наражати користувачів на ризики маніпуляцій, як у випадку виправленої вразливості. Man-in-the-middle (MITM) Атака типу man-in-the-middle (MITM) полягає в тому, що зловмисник втручається між двома сторонами, які обмінюються даними (тут — користувачем і сервером Electrum), щоб перехопити, змінити або перенаправити передані дані. У випадку Electrum зловмисник міг підмінити адресу призначення транзакції на свою, і користувач цього не помічав. Цей тип атаки є особливо небезпечним у децентралізованих мережах, де відсутність централізованої довіреної сторони ускладнює виявлення шахрайства. Конкретний приклад: хакер перехоплює транзакцію на 1 BTC на законну адресу і перенаправляє її у свій гаманець. Replace-by-Fee (RBF) Функція Replace-by-Fee (RBF) — це механізм протоколу Bitcoin, який дозволяє користувачу підвищити комісію непідтвердженої транзакції, щоб прискорити її обробку мережею. Наприклад, якщо транзакція довго не підтверджується через занадто низьку комісію, користувач може створити нову версію цієї транзакції з вищою комісією, яка замінить попередню. Однак цю функцію можна використати на шкоду: у випадку вразливості Electrum зловмисник скористався RBF, щоб спонукати користувача підписати шахрайську транзакцію, підвищивши комісію фальшивої транзакції, і таким чином санкціонувати крадіжку коштів. Взаємна автентифікація TLS Взаємна автентифікація TLS (Transport Layer Security) — це протокол безпеки, який гарантує, що обидві сторони комунікації (тут гаманець Electrum та його сервер) взаємно автентифікують одна одну перед обміном даними. На відміну від класичного TLS, де лише сервер доводить свою особу, взаємна автентифікація вимагає, щоб клієнт (користувач) також пред’явив дійсний сертифікат. У версії Electrum 4.8.3 цей захід спрямований на запобігання атакам MITM шляхом перевірки того, що опитувані сервери є саме тими, які очікуються. Наприклад,…