أصدرت محفظة Electrum، إحدى أقدم محافظ البيتكوين (Bitcoin)، الإصدار 4.8.3 في 24 أكتوبر 2026 لسدّ ثغرة سمحت لخوادم خبيثة باستبدال دفعة معلقة بدفعة مزيفة يوقّعها المستخدم دون قصد أثناء محاولته تسريعها. وقد ورد ذلك في النشرة الأمنية الرسمية للمشروع، وذكر مستخدمون أن سرقة واحدة على الأقل وقعت قبل صدور الإصلاح.
كيف تتم الهجمة
لا تحمّل محفظة Electrum سلسلة الكتل كاملة، بل تعتمد على خوادم خارجية لعرض سجل المعاملات وبثّ الدفعات. استغلّت الثغرة هذا النموذج: خادم خبيث يقدّم معاملة صرف غير مُعتمدة مزيفة بدل الدفعة الحقيقية، ثم ينتظر أن يقوم المستخدم برفع رسوم المعاملة المعلقة عبر خاصية Replace-by-Fee (RBF)، فيوقّع المعاملة المزيفة ويرسل أمواله إلى عنوان المهاجم. وفي حالة واحدة على الأقل حمل العنوان المزيف الأحرف الأربعة الأخيرة نفسها التي يحملها عنوان المستلم الحقيقي.
أول بلاغ ورد في 11 أكتوبر من مستخدم يدير محفظة بتوقيع مشترك من اثنين من ثلاثة عبر جهازَي Trezor، وقد لاحظ معاملة صرف غريبة لكنه لم يخسر شيئاً. في 18 أكتوبر بلاغ ثانٍ من مستخدم رفع الرسوم على معاملة مستبدلة وخسر أمواله.
ما يجب فعله الآن
المستخدمون على أي إصدار أقدم من 4.8.3 معرّضون للخطر ما دامت المحفظة قد تتصل بخادم خبيث، فيما لم يتعرض المستخدمون الذين يتصلون بخوادمهم الخاصة أو بخوادم يثقون بها مطلقاً. المتطلبات الثلاثة واضحة:
- التحديث إلى 4.8.3، والتنزيل من موقع electrum.org الرسمي فقط، وليس من نافذة منبثقة داخل المحفظة أو رابط في رسالة. وقد استُخدمت نوافذ تحديث مزيفة في هجوم عام 2019 على مستخدمي Electrum استنزفت أكثر من 4.6 مليون دولار.
- التحقق من كل معاملة غير مُعتمدة تظهر في المحفظة قبل رفع رسومها، مع الانتباه إلى تشابه العناوين في أحرفها الأخيرة.
- عدم الوثوق بأي مطالبة تحديث تظهر داخل التطبيق، فالتاريخ أثبت أنها وسيلة هجوم متكررة.
يمثل هذا الاختراق ثغرة في نموذج الثقة ذاته للمحافظ الخفيفة عموماً، التي تعوّل على خوادم طرف ثالث بدل التحقق من السلسلة بنفسها، وهو ما يجعل تشغيل خادم خاص أو عقدة كاملة حاجزاً فعلياً أمام هذه الفئة من الهجمات. والخبر يأتي بعد فترة شهدت مخاطر مماثلة على المحافظ، مثل سرقات أجهزة Ledger التي رصدناها سابقاً.
لم يُعلن المبلغ المسروق في السرقة المؤكدة، ولم تُسمّ الخوادم المتورطة حتى الآن.
