일렉트럼 지갑 결함, 수수료 인상 승인했다가 비트코인 도난

일렉트럼의 결함으로 악성 서버가 미확정 비트코인 결제를 공격자에게 자금이 전송되도록 하는 가짜 거래로 바꿀 수 있었던 것으로 드러났다. 개발진은 최소 한 명의 사용자가 수수료 인상을 승인한 뒤 비트코인을 잃었다고 확인했다. 이 공격은 수수료 대체 기능인 Replace-by-Fee를 악용했다. 지갑이 바꿔치기된 거래를 대기 중인 거래로 취급한 뒤, 공격자 주소로 보내는 유효한 고수수료 대체 거래에 서명할 수 있었다. 개발진은 10월 11일과 10월 18일에 관련 신고를 접수했다. 도난 금액과 악성 서버의 신원은 공개되지 않았다. 일렉트럼은 10월 24일 관련 미확정 거래에 대한 서명 검증을 추가한 4.8.3 버전을 출시했다. 이전 버전은 악성 서버에 연결될 경우 여전히 취약하다. 일렉트럼은 사용자에게 업그레이드하고 서명 전에 결제 주소와 금액을 확인하라고 권고했다. 자체 서버를 포함해 신뢰할 수 있는 서버에만 연결한 사용자는 이 공격에 노출되지 않았다.