Electrum: Fehlende Signaturprüfung von Mempool-Transaktionen

Zusammenfassung

Electrum vor 4.8.3 prüft die Signaturen von eigenen Inputs in unbestätigten Mempool-Transaktionen, die vom Server empfangen werden, nicht. Ein bösartiger Electrum-Server kann eine soeben gesendete Transaktion durch eine widersprüchliche, ungültige Transaktion ohne Gebühr ersetzen, die an eine Adresse des Angreifers zahlt. Wenn der Benutzer diese Ersatztransaktion anschliessend per RBF mit einer höheren Gebühr erneut signiert, gelangen die Mittel an den Angreifer.

Betroffen

• Electrum-Versionen vor 4.8.3 (spesmilo Electrum, alle Plattformen)

Behoben in

• Electrum 4.8.3 (Fix in Commit 90fe308)

Umgehung

• Ohne Upgrade vor jeder Signatur, auch bei Gebührenerhöhungen, Empfängeradressen und Beträge auf dem Gerät oder Wallet-Bildschirm prüfen.
• Benutzer, die sich nur mit selbst betriebenen, vertrauenswürdigen Electrum-Servern verbinden, sind von diesem serverbasierten Angriff nicht betroffen.

Ausnutzung

• Die Electrum-Entwickler geben an, dass einige Server diesen Angriff in der Praxis durchführen und zwei Benutzermeldungen eingegangen sind, davon eine mit finanziellem Verlust. Die Quellen widersprechen sich; OffSeq listet die CVE als nicht bekanntermassen ausgenutzt.
• Kein öffentlicher Proof of Concept gefunden; für den Angriff genügt der Betrieb oder die Kompromittierung eines Servers.

Unsere Empfehlung

• Alle installierten Electrum-Clients und deren Versionen erfassen und auf 4.8.3 von electrum.org aktualisieren, dabei die GPG-Signatur prüfen.
• Bis zur Aktualisierung Adressen und Beträge auf dem Wallet oder Gerät vor dem Signieren prüfen, insbesondere bei Gebührenerhöhungen.
• Für Geschäftszahlungen selbst betriebene oder vertrauenswürdige Electrum-Server verwenden.
• Beachten, dass Signaturen eingehender Transaktionen auch nach dem Upgrade nicht geprüft werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6jp4-8v48-cc5v github.com
• Fix commit 90fe308 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry GHSA-6jp4-8v48-cc5v osv.dev
• VulDB entry 427212 vuldb.com
• Vulners NVD record CVE-2026-117601 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:36.