Nouveau : Le Salvador a acheté aujourd'hui un BTC supplémentaire pour sa réserve stratégique de bitcoins. Le pays en détient désormais 7 817.

Electrum a publié le 24 octobre la version 4.8.3 de son portefeuille Bitcoin, qui corrige une faille critique. Des serveurs malveillants pouvaient y injecter des transactions falsifiées et convaincre les utilisateurs d'envoyer des fonds à des adresses contrôlées par les attaquants. Un utilisateur au moins a confirmé une perte le 18 octobre, après avoir acquitté des frais supplémentaires sur une transaction modifiée par le serveur. Toutes les versions antérieures à la 4.8.3 sont concernées ; la mise à jour est désormais téléchargeable. Le correctif vérifie la signature des entrées du portefeuille avant d'afficher les transactions non confirmées. Les transactions entrantes envoyées par des tiers restent, elles, non vérifiées. Electrum figure parmi les plus anciens portefeuilles logiciels Bitcoin. L'attaque exploitait son modèle de confiance appliqué aux transactions non confirmées. Lorsqu'un utilisateur diffuse un paiement via un serveur compromis, celui-ci peut bloquer la transaction légitime et injecter une transaction conflictuelle falsifiée — affichant l'adresse de sortie de l'attaquant et des frais nuls — pour faire croire que le paiement est bloqué. Electrum ne vérifiant pas les signatures des transactions non confirmées reçues du serveur, cette transaction falsifiée apparaît dans l'historique du portefeuille comme légitime. Quand l'utilisateur relève les frais sur ce paiement apparemment en panne, il signe et diffuse une nouvelle transaction valide dont l'adresse de sortie appartient à l'attaquant. Le paiement d'origine n'a jamais été envoyé : la transaction aux frais relevés est la première à atteindre le réseau, et elle paie l'attaquant. Selon l'annonce du développeur d'Electrum SomberNight, les attaquants peuvent modifier l'adresse de sortie d'une transaction falsifiée pour qu'elle corresponde aux quatre derniers caractères de l'adresse visée par l'utilisateur. Quiconque ne vérifie que la fin d'une longue adresse Bitcoin y verra une correspondance apparente. « Certains serveurs mènent activement cette attaque », indique l'annonce, un point étayé par deux signalements d'utilisateurs. L'utilisateur dannydeezy a été le premier à signaler un comportement suspect d'un serveur, le 11 octobre ; aucun fonds n'a été perdu, les transactions altérées ne s'étant pas propagées au-delà du serveur local. Le second, RajuK12, a fait état d'une perte confirmée le 18 octobre, après avoir payé des frais supplémentaires pour corriger une transaction altérée. Le correctif de la version 4.8.3 ferme un vecteur d'attaque majeur en vérifiant les signatures cryptographiques des entrées du portefeuille avant d'ajouter une transaction non confirmée à l'historique local. Le serveur ne peut plus injecter de transactions falsifiées impliquant l'adresse de l'utilisateur sans fournir de signatures valides, impossibles à contrefaire. Le correctif a été consigné dans le dépôt de code le 23 octobre et le binaire publié le lendemain. Les transactions entrantes de tiers — celles dont aucune entrée n'appartient au portefeuille de l'utilisateur — sont toujours acceptées sans vérification de signature. SomberNight a reconnu cette lacune dans son annonce et indiqué qu'un travail supplémentaire reste nécessaire pour la combler. Electrum a déjà été confronté à ce type d'incident. En 2018, une attaque malveillante s'appuyait sur des serveurs falsifiés pour diffuser de fausses notifications de mise à jour ; en 2020, ces attaques auraient dérobé 25 millions de dollars aux utilisateurs d'Electrum. Le modèle de serveur ouvert d'Electrum — chacun peut exploiter un nœud — rend ces attaques possibles. Les utilisateurs connectés uniquement à leur propre serveur ne sont pas affectés. Ceux qui ne peuvent pas mettre à jour immédiatement doivent vérifier manuellement l'adresse de sortie et le montant avant de signer toute transaction. Electrum 4.8.3 est disponible sur electrum.org et sur le GitHub du projet.

Strategy spent a record $204.9 million retiring 2.07 million STRC preferred shares last week, pushing buybacks past $2 billion since July. It bought no Bitcoin from Oct. 19 to Oct. 25, holding 848,517 BTC, as unrestricted cash fell 84.8% to $242.4 million. Strive bought a record 6,182 BTC for about $511.4 million, lifting holdings to 43,000 BTC. Investors vote Oct. 28 on daily dividends.

Strategy spent a record $204.9 million retiring 2.07 million STRC preferred shares last week and bought no Bitcoin from Oct. 19 to Oct. 25. Its Bitcoin holdings stayed at 848,517 BTC, acquired for about $64.02 billion. Strive acquired a record 6,182 BTC for about $511.4 million between Oct. 17 and Oct. 23, raising holdings to 43,000 BTC.

753 BTC (60 466 629 USD) ont été transférés d’un portefeuille inconnu vers Coinbase Institutional.

Keystone will destroy 18,835 hardware wallets after attackers stole the key that verifies device authenticity. The breach began October 20 via a flaw in a third party monitoring tool on its website, exposing 25,964 customer records and 12,873 abandoned checkout records. Recovery phrases and private keys were not compromised. Shipments are suspended and production shifts to a new authentication key.

Bitcoin has entered an accumulation phase and could retake $125,000, per Galaxy Digital. The 50-week moving average near $76,540 held for five weekly closes as of October 18. The current 53% drawdown is the shallowest versus prior 93%, 85% and 84% cycles. Spot Bitcoin ETFs added 87,000 BTC since June while hedge funds cut 68,000 BTC. A weekly close below the 50-week average invalidates the thesis.

Public company Strive purchased 6,182 Bitcoin for $511.4 million at an average price of $82,700. The acquisition brings Strive's total Bitcoin holdings to 43,000 BTC. Additionally, the company announced a new $1 billion at-the-market program for its SAT shares.