Le portefeuille Bitcoin Electrum a publié le 24 octobre 2026 une mise à jour de sécurité urgente. La version 4.8.3 corrige une vulnérabilité de gravité « haute » permettant à un serveur malveillant de tromper un utilisateur pour lui faire envoyer ses bitcoins à une adresse contrôlée par un attaquant. Toutes les versions antérieures sont concernées.
La faille exploite la confiance accordée par Electrum à son serveur pour les transactions non confirmées. Lorsqu’un utilisateur effectue un paiement, un serveur malveillant peut retenir sa transaction au lieu de la diffuser sur le réseau Bitcoin, puis lui substituer dans l’historique du portefeuille une transaction frauduleuse. Celle-ci redirige les fonds vers l’attaquant et comporte des signatures invalides, qu’Electrum ne vérifiait pas.
Si l’utilisateur tente alors d’accélérer cette fausse transaction en augmentant ses frais grâce à la fonction Replace-by-Fee (RBF), il risque de signer lui-même une transaction envoyant ses bitcoins à l’attaquant. Dans les deux cas signalés, l’adresse frauduleuse avait été générée pour reproduire les quatre derniers caractères de l’adresse du destinataire légitime, afin de rendre la substitution moins visible.
Cette attaque a déjà été exploitée. Les développeurs ont reçu deux signalements, les 11 et 18 octobre. Le premier utilisateur a repéré la substitution, tandis que le second a perdu des bitcoins après avoir tenté d’augmenter les frais de la transaction frauduleuse.
La version 4.8.3 corrige cette vulnérabilité en vérifiant désormais les signatures des transactions non confirmées qui dépensent les fonds du portefeuille. Les développeurs recommandent une mise à jour immédiate depuis electrum.org, en vérifiant les signatures GPG des fichiers téléchargés. Les utilisateurs connectés exclusivement à leur propre serveur de confiance ne sont pas exposés à cette attaque.
Enfin, Electrum précise qu’une éventuelle alerte de Windows Defender concernant le fichier ZXing.dll constitue, selon ses développeurs, un faux positif.
Sources
Avis de sécurité officiel d’Electrum
Notes de version
Annonce de la version 4.8.3
