일렉트럼 비트코인 탈취 취약점 수정, 수수료 인상에 숨은 함정

일렉트럼 4.8.3은 이전 버전에 영향을 미치는 심각도 높은 취약점을 수정했다. 이 취약점을 악용하면 악성 서버가 정상적인 비트코인 결제를 서명이 유효하지 않은데도 대기 중으로 표시되는 사기 거래로 바꿀 수 있었다. 수수료 대체 기능인 Replace-By-Fee로 수수료를 높이는 과정에서 사용자는 자신도 모르게 대체 거래에 서명해 공격자에게 비트코인을 보낼 수 있었다. 원래 수신 주소의 마지막 네 글자를 일치시키는 방식으로 바꿔치기를 숨겼다. 일렉트럼은 두 건의 비공개 제보를 받았다. 여기에는 수수료 인상을 승인한 뒤 자금을 잃었다고 밝힌 사용자의 10월 18일 제보가 포함됐다. 이번 업데이트는 지갑 자금을 지출하는 미확정 거래에서 검증되지 않은 서명을 거부한다. 일렉트럼은 공식 사이트에서 업그레이드하고 서명 전에 수신 주소와 금액을 확인하라고 권고했다. 신뢰할 수 있는 자체 호스팅 서버에만 연결하는 사용자는 이 특정 공격에 노출되지 않는다.