提供された最新報告によると、Electrumは重大なウォレット脆弱性を修正した。この脆弱性を悪用されると、悪意あるサーバーが手数料引き上げ時にビットコインの送金内容を差し替え、利用者に偽造された置換取引へ署名させる可能性があるという。同報告では、4.8.3より前のバージョンが影響を受け、すでに1人が資金を失ったとしている。利用者にはアップデートのほか、署名前に受取アドレスと金額を再確認するよう促している。

報告されたElectrumへの攻撃はどのように行われるのか

入手可能な報道は、すべてのElectrum送金が自動的に別の送金先へ転送されるという広範な主張ではなく、取引差し替え型の攻撃を説明している。提供された速報によれば、悪意あるサーバーは取引送信後に介入し、Replace-by-Fee（RBF）の手順を利用して、ウォレットに偽造された置換取引への署名を行わせるとされる。

このため、報告上の弱点は手数料引き上げの段階にある。未承認のビットコイン取引でマイニング手数料を上げようとする場合、ウォレットはその取引の新たなバージョンに署名する必要がある。速報では、この時点で悪意あるサーバーが攻撃者の管理する送金先を差し込み、同時に手数料も引き上げることで、通常の承認高速化操作に見せかけられるとしている。

The Defiantの検索結果スニペットも同様の構図を示している。悪意あるサーバーが偽の支払いに差し替え、取引手数料が引き上げられる過程で利用者を欺き、その取引に署名させることができるという。これらの説明を総合すると、問題はElectrumの秘密鍵が直接漏えいしたという主張ではなく、置換取引に伴う署名画面の信頼性に関するリスクとして報告されている。

4.8.3で修正されたとの主張が利用者に意味すること

提供された報告に基づけば、利用者が直ちに取るべき行動は、ソフトウェアを更新し、あらゆる取引への署名前に受取アドレスと金額を確認することだ。この問題が現在の利用行動を変えるべきかという問いに対する、最も実践的な答えでもある。ソフトウェア修正が主張されている場合でも、取引内容の確認は差し替え送金を防ぐ主な防御策であり続ける。

ただし、正確な修正版には重要な不確実性が残る。提供された速報では、4.8.3より前のバージョンが影響を受け、4.8.3で修正されたとしている。一方で、提供された証拠には、このバージョンを確認できるElectrumのリリースノートやセキュリティアドバイザリーは含まれていなかった。Electrum公式サイトの検索結果スニペットでは4.8.2が最新リリースとして表示されていたため、ここでの4.8.3による修正は、直接確認済みのリリース状況ではなく、報告されたバージョン情報として扱うべきだ。

この不確実性は報告された攻撃手法そのものを否定するものではないが、修正内容をどこまで正確に断定できるかを制約する。利用者は、更新だけですべての悪意あるサーバーのリスクが解消されると考えるべきではない。また、提供された証拠からは、すべてのElectrum対応プラットフォーム、ウォレットの利用モード、あるいはすべてのRBF取引が同じ形で影響を受けることも確認されていない。

現時点の報道で確認できること

最も裏付けの強い点は次の通りだ。報告されたリスクには悪意あるサーバーが関与し、資金窃取の経路とされるのは手数料引き上げ時に置換取引へ署名させる手法である。また、報告されている利用者向けの対応は、更新に加え、署名前に送金先と金額を慎重に確認することだ。提供された速報によれば、Electrumには関連する報告が2件寄せられ、1人が資金を失ったという。

提供された証拠で確認されていない点も同様に重要だ。ここには件数を確認できる直接閲覧可能なElectrumのアドバイザリーはなく、4.8.3が実際に公開中の修正版であることを示す一次リリースページも精査されていない。特定のプラットフォームやウォレット設定を対象とした影響範囲も確認されていない。したがって現状は、信頼に足る報告に基づくウォレット署名リスクが示されている一方、正確なリリースバージョンについては一次記録が未解決の状態と理解するのが適切だ。