Electrum

Eventi documentati e chiusi. Restano in scheda: il passato di un operatore è un dato, non una condanna.

1. 26 dic 2018 Hack / furto di fondi Grave ✓ risolto

   Server malevoli sfruttavano una falla del client per mostrare finti messaggi di aggiornamento e far installare malware: centinaia di bitcoin sottratti, falla corretta nella versione 3.3.3

   Electrum è un wallet leggero: non scarica la blockchain, si collega a server della rete pubblica ElectrumX. Fino alla versione 3.3.3 il client mostrava i messaggi d'errore ricevuti dal server come testo formattato, senza filtrarli — comportamento predefinito di Qt. Un attaccante ha allora messo in rete un gran numero di server malevoli su intervalli di indirizzi IP diversi, per aumentare la probabilità che i client vi si collegassero: quando l'utente provava a inviare una transazione, il server rispondeva con un finto messaggio d'errore che invitava a scaricare un «aggiornamento» di Electrum. Quel file era malware, e chi lo installava si faceva svuotare il wallet. La falla è documentata dagli sviluppatori stessi nella segnalazione aperta il 26 dicembre 2018 sul repository ufficiale del progetto, ed è stata chiusa con la versione 3.3.3; dalla 3.3.4 i messaggi dei server non vengono più mostrati come testo formattato. Un'analisi indipendente stimò che al culmine gli attaccanti controllassero circa il 70% dei server della rete. Sulle cifre le fonti divergono e nessuna è ufficiale: si va dalle oltre 200 BTC delle prime ricostruzioni alle oltre 771 BTC attribuite all'intera serie di attacchi, protrattasi per mesi nel 2019 — per questo qui non è indicato alcun importo. Gli utenti colpiti non sono stati rimborsati: Electrum è software libero senza custodia dei fondi, non esiste un intermediario a cui chiedere il rimborso. Il caso è chiuso nel senso che la vulnerabilità è stata corretta da anni, non nel senso che qualcuno abbia recuperato il maltolto.

   ↗ fonte

verificato il 28 set 2026