📡 Signal｜Electrum 4.8.3、悪意あるサーバーによる送金先すり替えを修正

ビットコインのウォレット Electrum の開発チームは10月24日、悪意あるサーバーが利用者の送金を握りつぶし、送金先を書き換えた偽の取引を見せて手数料の引き上げを誘う攻撃を公表した。深刻度は「高」で、10月23日にタグを付けたバージョン 4.8.3 で修正した。開発チームは、この攻撃を実際に行っているサーバーがあり、手数料を引き上げた利用者が資金を失ったと明記している。

Electrum セキュリティ勧告 GHSA-6jp4-8v48-cc5v (10月24日公表・深刻度 高・4.8.3 未満が対象・攻撃が実際に行われ手数料を上げた利用者が資金を失ったと明記)GitHub

秘密鍵は一度も漏れていない。ウォレットが見せる画面を書き換えられただけで、利用者は自分の署名で攻撃者に払ってしまった。軽量ウォレットがサーバーに預けてきた信頼の範囲が、実際の被害として表に出た。4.8.3 より前の版で、自分で管理していない公開サーバーにつないでいる利用者は、更新するまで署名の前に送金先を確かめる必要がある。

偽の取引で履歴を書き換える手順

Electrum は、ブロックチェーン全体を手元に持たない軽量クライアントだ。ブロックに入った取引は SPV (簡易支払い検証) で確かめるが、まだブロックに入っていない未承認の取引は、つないだサーバーの情報を信じる設計になっている。開発チームは公式の FAQ で、これを設計上の前提として説明してきた。

公表された手順は次のとおり。

• 利用者が送金 (取引 1) を送ると、悪意あるサーバーはそれをネットワークに流さずに止める
• 代わりに、出力先を攻撃者のアドレスに替えた矛盾する取引 (取引 2) を、利用者の履歴に差し込む。取引 2 の署名は無効だが、軽量クライアントはそれを検証していなかった
• ウォレットは取引 2 を未承認の取引として表示し、取引 1 は表示しない
• 利用者が取引 2 に RBF (手数料を上げて取引を差し替える機能) をかけると、ウォレットは高い手数料で新しい取引に署名する。この署名は本物なので、資金は攻撃者に届く

末尾 4 文字と手数料ゼロという細工

報告された事例には、利用者に手数料を上げさせるための細工があった。開発チームによると、2 件の報告のどちらでも、攻撃者のアドレスは正しい送金先と末尾 4 文字が一致するように作り込まれていた。履歴をざっと見ただけでは、送金先が変わったことに気づきにくい。

2 人目の報告では、サーバーが作った取引 2 の手数料はゼロだった。手数料ゼロの取引はいつまでも承認されない。利用者は送金が詰まったと考えて手数料を上げ、そのとき攻撃者あての取引に署名する。開発チームも、手数料の引き上げを狙ったものとみている。

経過は短い。10月11日に 1 人目が非公開で報告したが、この時点では手数料の引き上げを使う経路は見えていなかった。10月18日に 2 人目 (Raju-K12 氏) が、手数料を上げた後に資金を失ったと報告した。10月23日に 4.8.3 にタグが付き、24日にバイナリの配布と公表が行われた。

4.8.3 が直したもの、直していないもの

4.8.3 は、未承認の取引のうち、自分のウォレットのアドレスから支払う入力について、履歴に加える前に署名を検証するようにした。署名が無効な取引 2 は、もう履歴に入らない。

検証の対象は自分の入力だけだ。入金のように他人のアドレスから払われる未承認の取引は、引き続き検証されない。開発チームは、軽量クライアントには完全な検証の仕組みがなく、他人の入力まで確かめるには、未承認の親取引をブロックに入った取引までさかのぼって検証する必要があると説明している。未承認の入金の表示がサーバー次第である点は残る。

更新できない場合の回避策として、開発チームは、手数料の引き上げを含むすべての取引で、署名の前に出力先のアドレスと金額が想定どおりかを確かめるよう求めている。自分で立てたサーバーなど、信頼できるサーバーにつないでいる利用者は影響を受けない。

次に見るもの

確認先は Electrum の GitHub にあるセキュリティ勧告 GHSA-6jp4-8v48-cc5v だ。勧告は被害の総額も、攻撃に使われたサーバーの数も示していない。その数字が追記されるかどうかを、今週中に勧告の更新履歴で見る。利用者が確かめるべき一点は手元の版だ。公式サイト electrum.org は 10月26日時点で 4.8.3 を配布している。

ことば

• RBF — Replace-By-Fee の略。まだ承認されていないビットコインの取引を、手数料を上げた新しい取引で差し替える仕組み。承認が遅いときの定番の対処だが、差し替えのたびに新しい署名を求められる。
• 軽量クライアント (SPV) — ブロックチェーン全体を持たず、ブロックの見出し情報と証明だけで取引を確かめるウォレットの方式。ブロックに入る前の取引は、つないだサーバーの情報に頼る。
• 未承認取引 — 送信されたが、まだブロックに入っていない取引。この段階では確定しておらず、どのノードやサーバーに問い合わせるかで見え方が変わりうる。

🔗 一次ソース

• Electrum セキュリティ勧告 GHSA-6jp4-8v48-cc5v (10月24日公表・深刻度 高・4.8.3 未満が対象・攻撃が実際に行われ手数料を上げた利用者が資金を失ったと明記)GitHub
• Electrum RELEASE-NOTES (Release 4.8.3・10月23日・セキュリティ更新)GitHub
• 修正コミット 90fe308 (自分の入力について未承認取引の署名を検証)GitHub
• Electrum FAQ: Electrum はサーバーを信頼するかElectrum Documentation
• Electrum 公式サイト (10月26日時点で 4.8.3 を配布)Electrum