要点：

• 据报道，较早版本的Electrum钱包导致了2500万美元的比特币被盗。
• 一份新的调查报告详细说明了攻击者如何推送恶意软件更新。
• Electrum目前已更新，可以帮助解决问题，但是较旧的版本容易受到攻击。

图片来源：Pixabay

一项新的调查详细说明了这个漏洞盗窃背后的过程以及迄今为止对用户造成的损害。

根据ZDNet的一项调查，黑客通过该漏洞窃取了价值超过2500万美元的比特币，其中1980个比特币（2290万美元）被存放在与攻击者相关的钱包中。 根据2018年12月的报道，早先的攻击中已经有202 BTC（230万美元）被盗。

最大的一次黑客盗取发生在8月下旬，一位比特币持有人在GitHub上声称他在漏洞攻击中损失了1400个BTC。 第二天，由于使用了Electrum，另一位用户声称丢失了36.5 BTC。

据报道，自2018年以来，攻击者一直在使用相同的漏洞盗取用户资金。 根据调查，在使用Electrum的较早版本时，可能会提示用户更新应用程序，但是此安全更新来自外部攻击者而非Electrum开发人员。

Electrum的ElectrumX服务器用于与比特币区块链进行通信，但是钱包应用程序的开放生态系统意味着不良行为者可以启动自己的网关服务器并等待用户连接。 攻击者可以从那里设置启动提示，告诉用户必须更新应用程序才能发送交易，但会将用户指向恶意软件，而不是合法更新。

一旦进行恶意软件更新，受损的Electrum钱包就会要求用户提供一次性密码——如果提供了密码，则他们的资金将被盗并发送至攻击者的地址。 较新版本的Electrum已实施了修复程序以解决此漏洞，其中包括阻止某些服务器弹出提示以及将服务器列入黑名单，但这些最新报告证明，较早版本的电子钱包更容易受到攻击者的攻击。

Electrum开发人员Thomas Voegtlin在八月份对Decrypt表示，该团队已经意识到网络钓鱼攻击已有一段时间了，并已通过其网站警告用户。 Voegtlin说：

“警告已经在我们的网站上显示了18个月。用户被骗是因为他使用了容易受到网络钓鱼攻击的旧软件。”