Разработчики Electrum сообщили об уязвимости, позволявшей вредоносным серверам добавлять поддельные ожидающие платежи в историю транзакций кошелька. Пользователь, пытавшийся ускорить зависший перевод с помощью Replace-by-Fee, мог подписать операцию, отправляющую средства злоумышленнику. Известно как минимум об одном случае потери средств.

Проблема связана с тем, что Electrum получает историю транзакций и передаёт платежи через внешние серверы, а не через собственный полный узел Bitcoin. В октябре разработчики получили два сообщения об уязвимости; один из пользователей сообщил о потере средств после подтверждения операции, выглядевшей как обычное увеличение комиссии.

Electrum выпустил исправленную версию 4.8.3 24 октября. По данным разработчиков, пользователи, подключавшиеся только к доверенным серверам, в том числе к собственным, не подвергались риску; общий объём похищенных средств не раскрыт.