Electrumが悪意あるサーバー経由のウォレット脆弱性を修正。1ユーザーの資金損失報告を受けて対処する方針

暗号資産ウォレットのElectrum（ビットコイン向けの非カストディ型ウォレットソフトウェアとされています）において、悪意のあるサーバーを介して悪用される脆弱性が修正されました。この脆弱性では、悪意あるサーバーが偽の支払いに差し替えを行い、取引手数料を引き上げる過程でユーザーを騙して署名させる手口が確認されています。開発チームによると、すでに1人のユーザーから資金を失ったという報告が寄せられていたとのことです。ユーザーが意図しない取引へ署名してしまうリスクを防ぐため、ウォレットソフトウェアにおける外部サーバー連携の安全性が改めて問われる事例となっています。

手数料引き上げ時の署名を悪用した不正手口

今回確認された問題は、悪意のあるサーバーが正規の支払いを偽の支払いに差し替えることで発生します。

ユーザーが取引手数料を引き上げる操作を行う際、悪意あるサーバーはユーザーを騙して差し替えられた偽の取引データに署名させます。その結果、ユーザーが気付かないまま不正な送金が承認されてしまう仕組みと見られます。

被害の発生と開発チームによる修正対応

Electrumの開発チームは、この手口に対応するためウォレットの脆弱性を修正するパッチを適用しました。

開発者らによると、すでに1人のユーザーから実際に資金を損失したという報告が届いていることが明かされています。悪意あるサーバーとの通信において、ユーザーの署名プロセスが巧妙に誘導された形であり、ウォレットの安全な運用において重要な教訓となります。

ポイント

• Electrumが悪意あるサーバーを経由して悪用されるウォレットの脆弱性を修正しました。
• 偽の支払いに差し替えたうえで手数料引き上げ時にユーザーを騙して署名させる手口が確認された点で注目されます。
• 開発者に対して1人のユーザーから資金損失の報告が寄せられており、すでに実害が発生していたことが確認されています。
• 外部サーバーを利用するウォレットにおいて、取引の変更や手数料調整時の署名確認プロセスの重要性を示す事例といえます。