Electrum corrige une faille qui pouvait détourner un paiement après une hausse des frais

Une alerte de gravité élevée publiée le 24 octobre

Electrum a rendu public le 24 octobre 2026 un avis de sécurité classé de gravité élevée, concernant les versions antérieures à 4.8.3. Le développeur SomberNight décrit une attaque menée par des serveurs malveillants contre l’affichage des paiements non confirmés. L’équipe indique avoir reçu deux signalements, dont celui d’un utilisateur ayant perdu des fonds après une augmentation des frais, le 18 octobre. Aucun montant de perte n’est précisé dans cet avis.

Le fonctionnement du portefeuille explique le point d’exposition. Electrum utilise des serveurs pour obtenir l’historique des adresses et diffuser les paiements. Sa documentation distingue les transactions confirmées, vérifiées au moyen de preuves SPV, des transactions encore en attente, pour lesquelles le serveur principal joue un rôle de confiance. Elle précise également que le client ne transmet jamais ses clés privées aux serveurs. Cette protection des secrets ne suffit toutefois pas à garantir que l’historique fourni présente toujours le bon destinataire.

Le détournement passe par une nouvelle signature

Dans le scénario décrit, le serveur retient le paiement légitime envoyé par le client et affiche à sa place une transaction contradictoire, aux signatures invalides, dont la destination appartient à l’attaquant. Si l’utilisateur augmente ensuite manuellement les frais de cette opération trompeuse, le portefeuille signe un nouveau paiement susceptible de transférer les bitcoins à cette mauvaise adresse. Il ne s’agit donc pas d’un serveur dépensant seul les fonds grâce à des clés privées dérobées : la nouvelle signature de l’utilisateur joue un rôle décisif.

Le correctif vérifie les signatures des entrées appartenant au portefeuille avant l’ajout d’une transaction non confirmée dans son historique local. L’avis souligne une limite : cette vérification ne couvre pas les entrées extérieures au portefeuille, notamment dans certaines transactions entrantes. La version corrigée ne transforme donc pas Electrum en nœud Bitcoin complet. Les clients utilisant uniquement un serveur qu’ils contrôlent ou auquel ils font confiance ne sont pas touchés par ce scénario, selon l’équipe.

Mettre à jour depuis la distribution officielle

Les notes de version portent la date du 23 octobre pour 4.8.3, tandis que la chronologie de l’avis fixe la diffusion des exécutables au 24 octobre. Cette différence correspond aux étapes de préparation puis de distribution du logiciel. Le site officiel propose le téléchargement et les signatures de vérification associées. Il demande d’utiliser exclusivement electrum.org comme source et de vérifier les signatures GPG. Il précise aussi que les exécutables sont reproductibles et signés indépendamment par plusieurs personnes participant à leur construction.

La documentation rappelle qu’une augmentation des frais concerne une transaction remplaçable et donne lieu à une nouvelle opération à signer, puis à diffuser. Ce mécanisme normal sert à accélérer un paiement en attente ; il impose de contrôler à nouveau ce qui sera signé. Le correctif répond ici à une manipulation de l’historique présenté par un serveur. La vérification de la destination complète et du montant reste pertinente avant toute signature, plutôt que de considérer l’action comme une simple modification technique du coût d’envoi.