Electrum 4.8.3がBitcoin (BTC)ウォレットの欠陥を修正、支払いを攻撃者に振り替える

不正サーバーが未承認の支払いをすり替える

Bitcoin (BTC)ウォレット「Electrum」に接続する不正サーバーが、ユーザー資金を奪う手口を使っていた。手口はこうだ。未承認の支払いを偽物に置き換えた上で、送金が詰まったと感じたユーザーが手数料引き上げ(fee-bump)を行うと、その署名済みトランザクションの出力が攻撃者の管理するアドレスに直接支払う。開発チームは10月24日(土)、修正版4.8.3を公開し、それ以前の全バージョンに影響する重大度の高い脆弱性を封じた。なお、今回の件でビットコインの価格は動かず、ブロックチェーンネットワーク自体にも影響はない。攻撃の対象となったのは、未承認トランザクションを接続先サーバーに委ねるというElectrumの信頼モデルである。自分で検証せずサーバー任せにするこの構造では、侵害されたサーバー経由で支払いをブロードキャストすると、そのサーバーが本物のトランザクションを握りつぶし、攻撃者のウォレットアドレスを宛先とし、手数料をゼロにした偽トランザクションを差し込める。偽のエントリーは履歴上、詰まって見える未承認の支払いとして正当に表示され、Electrumはサーバーから渡された未承認トランザクションの署名を検証しないため、表示上は偽物と分からない。ユーザーが滞留した支払いに手数料引き上げを行った瞬間、実際にはReplace-by-Fee(RBF)操作として、ネットワークに届く最初の完全に有効なトランザクションに署名して送信するが、その出力先は攻撃者だ。本来の支払いは一度も送信されていなかった。

ElectrumチームがGitHub上で公開したセキュリティ勧告は、この攻撃を実行するサーバーが実害として観測されたと述べ、2件のユーザー報告が根拠になっている。dannydeezyという名前で投稿したユーザーは10月11日(日)、サーバーの不審な挙動を報告した。改ざんされたトランザクションはローカルのサーバーから先へ伝播せず、損失は出ていない。一方、Raju-K12と名乗る2人目のユーザーは10月18日(日)、サーバーに操作されたトランザクションを手数料引き上げした結果、実際の損失が発生したと確認した。勧告は二重の欺瞞も明らかにしている。攻撃者は偽の出力アドレスを微調整し、末尾4文字をユーザーが本来指定した宛先の末尾と一致させられる。署名前に長いアドレス文字列の終わりだけを目視確認する人は、これで騙される。

4.8.3が主要な攻撃経路を封じる

10月23日(金)にElectrumリポジトリでタグ付けされた4.8.3は、公式勧告に記載の通り、未承認トランザクションをローカル履歴に取り込む前に、ユーザーのウォレットが保有する入力について暗号署名を検証する。ユーザー自身のアドレスに触れる偽トランザクションは、攻撃者が偽造できない有効な署名なしでは差し込めなくなった。4.8.3のバイナリは10月24日に公開されている。ただし勧告は残る隙間も認めている。外部の送信者から届くトランザクション(入力がいずれもユーザーのウォレットに属さないもの)は、引き続き署名検証なしで受け入れられ、この経路を閉じるにはチームがまだ日程を示していない追加作業が必要だ。そもそもこの種の攻撃を可能にしているのは、誰でもElectrumノードを運営でき、ウォレット側にどのサーバーが正直かを見分ける手段が組み込まれていない、というオープンなサーバーモデルだ。軽量クライアントの高速さと小ささを保つための意図的な設計上のトレードオフであり、4.8.3はその検証の一部を、ユーザー自身の入力についてはウォレット側に戻した。長年続くこのプロジェクトが標的にされるのは初めてではない。Bitcoinウォレットとしては2018年に不正サーバー経由で偽の更新通知を配布するキャンペーンが発生し、2020年までに推計2,500万ドルがElectrumユーザーから奪われた。自分で運営するサーバーにのみ接続しているユーザーは、今回の悪用の影響を受けない。即時に更新できない場合、署名前に出力アドレスと金額を手動で確認すべきだ。10月18日に確認された一件以外の損失は公表されておらず、2件のユーザー報告が現時点で確認されている唯一の事例である。4.8.3はelectrum.orgとGitHubリポジトリから入手できる。

この手口は注意深いユーザーの取る行動そのものを武器にする点で厄介だ。滞留した支払いを手数料引き上げで動かすのは詰まったトランザクションに対する適切な対応であり、ゼロ手数料の偽トランザクションはそれに見えるよう作られていた。厳密には、被害者が署名するトランザクションは新しく有効であり、宛先が違うだけなので、この悪用はリプレイ攻撃とは言えない。勧告を精読した当編集部の見解はこうだ。速やかに4.8.3へ移行すること、アドレスは末尾の数文字でなく全体を確認すること、長期保有分はコールドウォレットかハードウェアウォレットに置き、署名経路からサーバーを排除することが現実的な防御である。4.8.3時点で主要な攻撃経路は閉じられた。外部送信トランザクションの未検証経路だけが開いたままで、閉鎖の時期は示されていない。