要點：
據報道，較早版本的Electrum錢包導致了2500萬美元的比特幣被盜。
一份新的調查報告詳細說明了攻擊者如何推送惡意軟體更新。
Electrum目前已更新，可以幫助解決問題，但是較舊的版本容易受到攻擊。
圖片來源：Pixabay
在八月和九月，許多被盜事件浮出水面，表明Electrum比特幣軟體錢包的使用者已經被駭客透過舊版本錢包中的漏洞盜取了大量比特幣。
一項新的調查詳細說明了這個漏洞盜竊背後的過程以及迄今為止對使用者造成的損害。
根據ZDNet的一項調查，駭客透過該漏洞竊取了價值超過2500萬美元的比特幣，其中1980個比特幣（2290萬美元）被存放在與攻擊者相關的錢包中。根據2018年12月的報道，早先的攻擊中已經有202 BTC（230萬美元）被盜。
最大的一次駭客盜取發生在8月下旬，一位比特幣持有人在GitHub上聲稱他在漏洞攻擊中損失了1400個BTC。第二天，由於使用了Electrum，另一位使用者聲稱丟失了36.5 BTC。
據報道，自2018年以來，攻擊者一直在使用相同的漏洞盜取使用者資金。根據調查，在使用Electrum的較早版本時，可能會提示使用者更新應用程式，但是此安全更新來自外部攻擊者而非Electrum開發人員。
Electrum的ElectrumX伺服器用於與比特幣區塊鏈進行通訊，但是錢包應用程式的開放生態系統意味著不良行為者可以啟動自己的閘道器伺服器並等待使用者連線。攻擊者可以從那裡設定啟動提示，告訴使用者必須更新應用程式才能傳送交易，但會將使用者指向惡意軟體，而不是合法更新。
一旦進行惡意軟體更新，受損的Electrum錢包就會要求使用者提供一次性密碼——如果提供了密碼，則他們的資金將被盜併傳送至攻擊者的地址。較新版本的Electrum已實施了修復程式以解決此漏洞，其中包括阻止某些伺服器彈出提示以及將伺服器列入黑名單，但這些最新報告證明，較早版本的電子錢包更容易受到攻擊者的攻擊。
Electrum開發人員Thomas Voegtlin在八月份對Decrypt表示，該團隊已經意識到網路釣魚攻擊已有一段時間了，並已透過其網站警告使用者。Voegtlin說：
“警告已經在我們的網站上顯示了18個月。使用者被騙是因為他使用了容易受到網路釣魚攻擊的舊軟體。”
Voegtlin上個月還在GitHub上發表了評論，並建議任何受影響的使用者向警方舉報攻擊。“德國和英國正在進行警方調查。我們（Electrum開發商）已於一年前向警察報告了網路釣魚襲擊”，並補充說：“我無法對調查進展發表任何評論，但如果受害者獨立報警，將會有所幫助。”
