Pengembang dompet Bitcoin tertua dan terpopuler, Electrum, mengonfirmasi temuan celah keamanan kritis yang memungkinkan server perantara jahat mengeksploitasi fitur percepatan transaksi Replace-by-Fee (RBF) untuk menguras saldo pengguna. Kerentanan ini telah memakan korban nyata setelah seorang pengguna kehilangan sejumlah Bitcoin akibat menandatangani transaksi palsu yang disisipkan oleh server nakal. Tim pengembang Electrum segera merilis pembaruan darurat versi 4.8.3 guna menutup celah validasi tanda tangan digital tersebut dan mengimbau seluruh komunitas untuk segera melakukan pembaruan perangkat lunak.
Manipulasi Transaksi Tertunda via Arsitektur Server Elektif
Berbeda dengan klien node penuh Bitcoin (full node) seperti Bitcoin Core yang memvalidasi seluruh riwayat blockchain secara mandiri, Electrum beroperasi sebagai dompet Simplified Payment Verification (SPV) ringan. Arsitektur ini mengandalkan jaringan server publik eksternal untuk mengunduh riwayat transaksi, memeriksa saldo, dan menyiarkan pembayaran ke mempool jaringan Bitcoin. Sebelum perbaikan diterapkan, perangkat lunak Electrum mempercayai data transaksi tertunda yang dikirimkan oleh server perantara tanpa memverifikasi keabsahan tanda tangan kriptografinya terlebih dahulu.
Kelemahan arsitektur tersebut dimanfaatkan oleh operator server perantara yang berniat jahat untuk mencegat transaksi keluar sebelum terkonfirmasi di blockchain. Pelaku kemudian mengganti transaksi sah tersebut di dalam antarmuka riwayat dompet pengguna dengan transaksi palsu yang mengalihkan koin ke alamat milik peretas. Untuk mengelabui korban saat melakukan pengecekan visual cepat, pelaku bahkan membuat alamat tujuan palsu dengan teknik vanity address yang memiliki empat karakter terakhir persis sama dengan alamat penerima asli.
Transaksi manipulatif ini sengaja disetel tanpa biaya transaksi (zero fee) sehingga statusnya tampak macet atau tertunda dalam waktu lama di antarmuka dompet. Kondisi transaksi yang menggantung ini dirancang secara sistematis sebagai perangkap psikologis agar pengguna terpancing untuk memanfaatkan fitur percepatan transaksi yang disediakan oleh protokol Bitcoin.
Jebakan Fitur Replace-by-Fee dan Laporan Kerugian Pengguna
Protokol Bitcoin mendukung mekanisme Replace-by-Fee (RBF) di bawah BIP 125, yang memungkinkan pengirim mengganti transaksi yang belum terkonfirmasi dengan versi baru yang menyertakan biaya jaringan lebih tinggi agar lebih cepat diproses oleh para penambang. Saat pengguna Electrum memilih opsi percepatan biaya pada transaksi yang tampak macet, dompet secara otomatis mengambil rincian transaksi penipuan yang disajikan oleh server jahat tersebut, menyusun transaksi pengganti baru yang sah, lalu meminta otorisasi tanda tangan dari pemilik dompet.
Ketika pengguna mengonfirmasi kenaikan biaya jaringan tanpa menyadari bahwa alamat penerima telah diubah, Electrum menandatangani transaksi baru tersebut dengan kunci privat pengguna yang sah. Akibatnya, koin Bitcoin milik korban langsung terkirim secara permanen ke dompet peretas begitu transaksi terkonfirmasi di blok penambangan. Laporan insiden pertama diterima tim pengembang pada 11 Oktober 2026, yang melibatkan dompet multisignature 2-of-3 menggunakan dua perangkat keras Trezor. Pada kasus pertama, pengguna menyadari ketidaksesuaian data transaksi keluar dan berhasil membatalkan proses sebelum dana berpindah.
Namun, laporan kedua yang masuk pada 18 Oktober 2026 berakhir dengan kerugian materiil nyata. Korban kedua menaikkan biaya transaksi pada transaksi pengganti yang telah dimanipulasi, sehingga dana Bitcoin miliknya langsung terkuras ke alamat pelaku. Pengembang Electrum belum mempublikasikan total nominal aset yang dicuri maupun identitas spesifik dari server-server publik jahat yang terlibat dalam kampanye serangan siber ini.
Rilis Pembaruan Darurat Versi 4.8.3 dan Mitigasi Keamanan
Menanggapi ancaman eksploitasi aktif tersebut, tim pengembang resmi merilis Electrum versi 4.8.3 pada 24 Oktober 2026, tepat enam hari setelah laporan pencurian pertama dikonfirmasi. Pembaruan ini menyematkan mekanisme validasi kriptografi ketat yang mewajibkan dompet memverifikasi seluruh tanda tangan digital pada transaksi yang belum terkonfirmasi sebelum data tersebut ditampilkan atau diproses lebih lanjut di antarmuka pengguna.
Pengembang menegaskan bahwa versi Electrum sebelum 4.8.3 tetap berada dalam kondisi rentan apabila terhubung ke server publik yang tidak terpercaya. Untuk memitigasi risiko keamanan di masa mendatang, para pengguna sangat disarankan untuk segera memperbarui aplikasi ke versi terbaru, memeriksa ulang seluruh karakter alamat penerima pada layar perangkat keras (hardware wallet) sebelum menandatangani persetujuan, atau menghubungkan dompet secara eksklusif ke server pribadi seperti Electrum Personal Server (EPS) maupun Fulcrum.
Langkah pengamanan mandiri ini menjadi krusial mengingat karakteristik transaksi pada jaringan terdesentralisasi bersifat final dan tidak dapat dibatalkan (irreversible). Keberadaan server independen yang dapat dijalankan secara mandiri oleh pengguna memastikan integritas data transaksi tidak disusupi oleh pihak ketiga di tengah meningkatnya kecanggihan taktik serangan siber yang menyasar lapisan aplikasi dompet kripto.
Sumber: CoinDesk
