Electrum meluncurkan pembaruan darurat versi 4.8.3 pada 23 Oktober 2026, dengan file binari yang tersedia mulai 24 Oktober, guna menutup celah keamanan tingkat tinggi pada dompet Bitcoin mereka. Celah ini dieksploitasi oleh server perantara jahat yang mencegat transaksi keluar sebelum tiba di jaringan Bitcoin, lalu mengganti alamat penerima dengan alamat milik penyerang.
Bahaya utama dari pembajakan ini justru muncul saat pemilik dompet berinisiatif mempercepat pengiriman aset.
Cara Server Jahat Memanfaatkan Fitur Naik Biaya
Electrum bekerja sebagai dompet ringan yang terhubung ke server eksternal, bukan node penuh (full node). Desain ini membuat aplikasi mempercayai server utama untuk menampilkan transaksi tunda (pending). Celah itulah yang dimanfaatkan server perantara nakal untuk menyusupkan transaksi rekayasa ke riwayat lokal dompet. Transaksi palsu ini sebenarnya membawa tanda tangan yang tidak valid, tetapi versi Electrum lama menampilkannya begitu saja tanpa memverifikasi tanda tangan terlebih dahulu.
Masalah membesar saat korban menggunakan fitur Replace-by-Fee (RBF) untuk menaikkan biaya transfer agar transaksi cepat diproses penambang. Begitu korban menyetujui kenaikan biaya atas transaksi palsu di layarnya, dompet memproses perintah baru. Melalui persetujuan itu, pengguna tanpa sadar menandatangani transaksi sah yang mengirimkan Bitcoin langsung ke alamat penyerang.
Dua Korban dan Taktik Alamat Serupa
Serangan ini sudah memakan korban nyata di komunitas. Laporan pertama masuk pada 11 Oktober 2026 dari pengguna dengan nama akun dannydeezy. Korban mendapati catatan transaksi di riwayat Electrum miliknya tidak cocok dengan pembayaran asli yang ia kirimkan. Transaksi dannydeezy berasal dari dompet multisignature 2-dari-3 yang dijaga dua perangkat Trezor. Pembayaran aslinya memiliki 31 input dan satu output dengan 62 tanda tangan sah. Seluruh tanda tangan itu valid untuk pembayaran awal, tetapi tidak berlaku bagi transaksi palsu dari server.
Penyerang juga menyiapkan alamat penerima palsu dengan menyamakan empat karakter terakhir dari alamat asli korban (lookalike address). Kemiripan di ujung karakter ini dirancang agar korban tidak curiga saat memeriksa sekilas.
Laporan kedua datang pada 18 Oktober 2026 dari pengguna bernama akun Raju-K12 yang kehilangan dana saat mencoba menaikkan biaya transaksi. Pada kasus Raju-K12, server jahat menyodorkan transaksi palsu dengan biaya nol. Skema biaya nol ini diduga dipasang agar korban terdorong untuk segera menaikkan fee pengiriman.
📌 Baca JugaKunci Kripto Keystone Tak Tersentuh - Tapi Alamat Rumah Pembeli Jatuh ke Penyerang
Apa yang Belum Terungkap
Pengembang Electrum menutup celah ini lewat commit kode 90fe308. Di versi 4.8.3, Electrum kini memverifikasi tanda tangan transaksi keluar yang belum dikonfirmasi sebelum memasukkannya ke riwayat lokal.
Hingga kini pengembang belum mengumumkan total dana yang dicuri, jumlah server yang terlibat, atau apakah masih ada korban lain. Pengguna versi sebelum 4.8.3 diwajibkan segera mengunduh pembaruan dari situs resmi Electrum untuk menutup celah ini.
Dilansir dari crypto.news.
Baca juga: Cysic Tawarkan Imbalan 10% untuk Damai - Peretas Malah Kirim $744 Ribu ke Tornado Cash
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
