חולשת אבטחה חמורה שהתגלתה בארנק התוכנה Electrum, אחד מארנקי הביטקוין הוותיקים והפופולריים בעולם, איפשרה לשרתים זדוניים להערים על משתמשים ולגרום להם להעביר כספים ישירות לתוקפים. התקלה התרחשה כאשר המשתמשים ניסו להחיש את אישורן של עסקאות מעוכבות באמצעות הגדלת עמלת הרשת. מפתחי הארנק אישרו כי לפחות משתמש אחד איבד את כספו בעקבות ניצול הפרצה, והוציאו עדכון אבטחה דחוף שמטרתו לחסום את נתיב התקיפה.
המלכודת: ניצול מנגנון החשת העסקאות
ארנק Electrum אינו משמש כצומת מלא (Full Node) ברשת הביטקוין, אלא מסתמך על שרתים חיצוניים לצורך קבלת היסטוריית העסקאות ושידור תשלומים חדשים לרשת. עד לאחרונה, התוכנה סמכה באופן אוטומטי על הדיווחים שקיבלה מאותם שרתים לגבי עסקאות הממתינות לאישור, מבלי לוודא את תקינות החתימות הדיגיטליות שלהן.
מצב זה יצר פרצה שאותה ניצלו שרתים זדוניים. כאשר משתמש ביצע העברת ביטקוין, שרת שנשלט על ידי תוקף יכול היה ליירט את העסקה בטרם הגיעה לרשת הביטקוין, ולהציג בהיסטוריית הארנק עסקה פיקטיבית חלופית. בעסקה המזויפת, יעד ההעברה שונה לכתובת בשליטת התוקפים, בעוד העסקה נשאה חתימות לא תקינות שהארנק נכשל בזיהוין.
המלכודת הופעלה כאשר המשתמשים ביקשו להשתמש בתכונה המכונה "החלפה לפי עמלה" (Replace-by-Fee או RBF). מנגנון זה מאפשר לעדכן עסקה שטרם אושרה ברשת ולהציע עבורה עמלת כרייה גבוהה יותר כדי לזרז את עיבודה. מכיוון שהארנק הציג את העסקה המזויפת ככזו שממתינה לאישור, כאשר המשתמש בחר להחיש אותה, התוכנה חתמה מחדש על העסקה החלופית - והפעם יצרה עסקה תקפה לחלוטין ששיגרה את המטבעות היישר לידי התוקפים.
כך בוצעה ההונאה: זיוף כתובות ואימות חסר
כדי להקשות על גילוי הזיוף במהלך בדיקה מהירה, התוקפים השתמשו בטקטיקות שנועדו להטעות את המשתמשים. באחד המקרים שנחשפו, העסקה המזויפת שהוזרקה לארנק כללה עמלת רשת בגובה אפס, מה שגרם לה להיראות כתקועה ומנע ממנה להתקדם - ובכך עודד את המשתמש ללחוץ על אפשרות הגדלת העמלה.
בנוסף, התוקפים ייצרו כתובות ביטקוין ייעודיות שבהן ארבעת התווים האחרונים היו זהים לחלוטין לכתובת היעד המקורית שאליה התכוון המשתמש להעביר את הכספים. כתוצאה מכך, משתמשים שהסתפקו במבט חטוף על סוף הכתובת לא הבחינו כי מדובר בכתובת שונה לחלוטין.
התקלה התגלתה בעקבות שני דיווחים שהתקבלו במהלך חודש אוקטובר:
- 11 באוקטובר: התקבל דיווח מבעל ארנק מרובה חתימות (Multisig) בתצורת שתיים מתוך שלוש, אשר עשה שימוש בשני ארנקי חומרה מסוג Trezor. המשתמש אישר את פרטי העסקה המקורית בשני המכשירים, אך לאחר מכן הבחין כי בהיסטוריית הארנק מופיעה עסקה יוצאת לכתובת שונה. במקרה זה לא דווח על אובדן כספים.
- 18 באוקטובר: התקבל דיווח ממשתמש שני, אשר ביצע הגדלת עמלה עבור עסקה שהוחלפה על ידי שרת זדוני. במקרה זה, הפעולה הובילה לגניבה בפועל של הביטקוין שלו.
תיקון האבטחה והמלצות למשתמשים
בעקבות הדיווחים, שחררו מפתחי Electrum ב-24 באוקטובר 2026 את גרסה 4.8.3 של התוכנה. העדכון הופץ שישה ימים לאחר הדיווח על מקרה הגניבה הראשון. הגרסה החדשה מוסיפה אימות חובה של חתימות עבור עסקאות שטרם אושרו המשתמשות במטבעות מתוך הארנק של המשתמש, ובכך מונעת משרתים זדוניים להזריק עסקאות מזויפות.
עם זאת, המפתחים מבהירים כי גרסאות מוקדמות יותר של התוכנה נותרות חשופות למתקפה זו אם הן מתחברות לשרתים זדוניים. משתמשים אשר מתחברים אך ורק לשרתים אמינים או לשרתים פרטיים שבבעלותם לא היו חשופים לפרצה.
המפתחים מאיצים בכלל המשתמשים לעדכן באופן מיידי לגרסה 4.8.3, ובמקביל להקפיד על בדיקה מדוקדקת של כתובת הנמען המלאה וסכום ההעברה לפני אישור כל עסקה. מפתחי התוכנה לא חשפו את סכום הכסף המדויק שנשדד או את זהות השרתים הזדוניים שהיו מעורבים במתקפה.
האמור בכתבה זו מובא למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ השקעות, המלצה או שידול לביצוע פעולות בניירות ערך. הנתונים מבוססים על מקורות גלויים ונכונים למועד פרסומם. הכותב/ת עשוי/ה להחזיק בניירות הערך המוזכרים. כל הפועל על סמך התוכן עושה זאת על דעתו ואחריותו הבלעדית.
