News über Electrum wallet

[Pumuckel21]

Hey, wer von euch hat auch schon die news hier im forum zu electrum gelesen und weiß genaueres darüber, also über die verwundbarkeit des electrum wallets?

Offizielle Downloadquelle: https://electrum.org/#download

//edit by mole0815: Titel korrigiert und Downloadlink ergänzt.

[Pumuckel21]

es wurde ja von einem btt admin gepostet; theymos

[nullCoiner]

nur was drin stand... steht auch auf der Electrum Seite.

Durch eine Schwachstelle war es möglich, bei geöffnetem Electrum Wallet ohne Passwort, Schadcode über einen Web Browser ausführen zu lassen und die wallet zu manipulieren.

Also falls Electrum ohne Passwort im Einsatz, sofort zu machen, Aktualisieren und ein vernünftiges Passwort drauf

[bct_ail]

Mir auch nur bekannt, was theymos dort geschrieben hat.
Vermute mal, dass das mit Spectre / Meltdown zusammenhängt. Die Hacker sind schnell

Edit: Ich glaube nicht, dass die Hacker schnell sind,  sondern das die Electrum-Devs schnell gecheckt haben, dass electrum durch Spectre / Meltdown angreifbar ist.

[nullCoiner]

aus gegebenen Anlass erwecke ich den Fanden

DoS-Attacke auf Electrum führt zu Verlusten in Millionenhöhe – keine Entwarnung
Ein Netzwerk aus bis zu 140.000 Bots führt seit etwa 48 Stunden eine massive DoS-Attacke auf die populäre Bitcoin Wallet Electrum durch. Medienportale sprechen von „Verlusten in Millionenhöhe.“ Da seitens des Wallet-Anbieters noch keine Entwarnung zu hören war, muss man davon ausgehen, dass die Attacke zur Stunde weiterläuft.

https://www.btc-echo.de/dos-attacke-auf-electrum-fuehrt-zu-verlusten-in-millionenhoehe-keine-entwarnung/

[Real-Duke]

aus gegebenen Anlass erwecke ich den Fanden

DoS-Attacke auf Electrum führt zu Verlusten in Millionenhöhe – keine Entwarnung
Ein Netzwerk aus bis zu 140.000 Bots führt seit etwa 48 Stunden eine massive DoS-Attacke auf die populäre Bitcoin Wallet Electrum durch. Medienportale sprechen von „Verlusten in Millionenhöhe.“ Da seitens des Wallet-Anbieters noch keine Entwarnung zu hören war, muss man davon ausgehen, dass die Attacke zur Stunde weiterläuft.

https://www.btc-echo.de/dos-attacke-auf-electrum-fuehrt-zu-verlusten-in-millionenhoehe-keine-entwarnung/

Wichtig, falls man jetzt Angst bekommen hat:

Die Angreifer haben es dem Vernehmen nach ausschließlich auf Nutzer der älteren Versionen der Wallet abgesehen. Ein Update auf die neueste Electrum-Version könnte hier also Abhilfe schaffen

Also bei neueren Versionen kann man wohl vorsichtig Entwarnung geben. Electrum ist eben zu beliebt

[hanspeter77]

wir bei dem wallet automatisch alle währungen angezeigt wo man beistzt oder nur btc.
bin etwas verwirrt oder ich verwechsle das mit exodus.

[Real-Duke]

wir bei dem wallet automatisch alle währungen angezeigt wo man beistzt oder nur btc.
bin etwas verwirrt oder ich verwechsle das mit exodus.

Das verwechselst Du mit Exodus
Electrum gibt es auch für andere Coins als Bitcoin, aber dann jeweils in seiner eigenen Version, die aber wenigstens von der Oberfläche immer identisch aussieht.

[hanspeter77]

wir bei dem wallet automatisch alle währungen angezeigt wo man beistzt oder nur btc.
bin etwas verwirrt oder ich verwechsle das mit exodus.

Das verwechselst Du mit Exodus
Electrum gibt es auch für andere Coins als Bitcoin, aber dann jeweils in seiner eigenen Version, die aber wenigstens von der Oberfläche immer identisch aussieht.

ja habs gemerkt hab mir jetzt mal des electrum bch geladen und leider keine bch mehr auf den adressen glaube noch 17 cent in bch.
mal schauen was des btg wallet sagt wenn es fertig synchro hat.

[Real-Duke]

wir bei dem wallet automatisch alle währungen angezeigt wo man beistzt oder nur btc.
bin etwas verwirrt oder ich verwechsle das mit exodus.

Das verwechselst Du mit Exodus
Electrum gibt es auch für andere Coins als Bitcoin, aber dann jeweils in seiner eigenen Version, die aber wenigstens von der Oberfläche immer identisch aussieht.

ja habs gemerkt hab mir jetzt mal des electrum bch geladen und leider keine bch mehr auf den adressen glaube noch 17 cent in bch.
mal schauen was des btg wallet sagt wenn es fertig synchro hat.

Dann kann Du auch gleich noch mit den anderen Fork-Coins wie Bitcoin Interest und Bitcoin Private weitermachen, wenn Di schoon dabei bist
Wobei sich diese dann evtl gar nicht lohnen.

[hanspeter77]

wir bei dem wallet automatisch alle währungen angezeigt wo man beistzt oder nur btc.
bin etwas verwirrt oder ich verwechsle das mit exodus.

Das verwechselst Du mit Exodus
Electrum gibt es auch für andere Coins als Bitcoin, aber dann jeweils in seiner eigenen Version, die aber wenigstens von der Oberfläche immer identisch aussieht.

ja habs gemerkt hab mir jetzt mal des electrum bch geladen und leider keine bch mehr auf den adressen glaube noch 17 cent in bch.
mal schauen was des btg wallet sagt wenn es fertig synchro hat.

Dann kann Du auch gleich noch mit den anderen Fork-Coins wie Bitcoin Interest und Bitcoin Private weitermachen, wenn Di schoon dabei bist
Wobei sich diese dann evtl gar nicht lohnen.

ja bei mir lohnt sich eh alles nach 2017 nicht hatte ab da nemmer viele btc ^^, alle verkauft.
denke da hätte sich wenn nur bch gelohnt bei btg glaub ich schon das nichts da sein wird.

[nullCoiner]

Ich grabe mal den alten Faden wieder aus, weil anscheinend immer noch eine Schwachstelle einer alten Version von Electrum ausgenutzt wird, also Vorsicht... Wohl erst im August diesen Jahres hat ein Nutzer dadurch $16 Millionen USD in BTC verloren 

Dabei wird älteren Versionen (aus 2018) ein verfügbares Update angezeigt, welche aber manipuliert und schädlich ist. Startet man die Electrum Wallet wird man aufgefordert ein OPT Einmalpasswort einzugeben, gibt man dieses Passwort ein, erlangt der Hacker Zugriff auf die Funds in der Wallet. Für größere Beträge sollte man wirklich Paper oder Hardware Wallet nutzen, und keine Light Wallets...

Hier noch der Link zum engl. Originaltitel...
https://beincrypto.com/heres-how-hackers-stole-22m-from-electrum-bitcoin-wallet-users/

[bct_ail]

Ja, alle Version älter als 3.3.4 weisen diese Schwachstelle auf. https://github.com/spesmilo/electrum/issues/4968
Das wird auch auf der electrum seite mitgeteilt.

Warning: Electrum versions older than 3.3.4 are susceptible to phishing. Do not download Electrum from another source than electrum.org, and learn to verify GPG signatures.

Quelle: https://electrum.org/#home

Zum Vorfall. Also wenn ich nach 2! Jahren mal wieder an meine Coins möchte, dann informiere ich mich doch vorher, ob es eine neue Version gibt. Daher wäre es auch in diesem Fall egal gewesen, wenn der User das hier gemacht hätte:

Für größere Beträge sollte man wirklich Paper oder Hardware Wallet nutzen,

Aber grundsätzlich hast du schon Recht damit. Ich würde zusätzlich noch ein Cold Wallet hinzufügen. Und das wichtigste: Seed auf verschiedenen Medien sichern. Man kann es nicht oft genug sagen.

[Soonandwaite]

Ich hatte mal eine Segwit Bech32 Adresse erstellt. Kann man ja für die Bounty Token gut gebrauchen. Also eine Paper Wallet.
Das ganze kann man ja offline machen wenn man diese Seite speichert: https://segwitaddress.org/bech32/#entropyRef   und es offline ausführt.
Dann hat man seine Paperwallet und gut ist.
Nun dachte ich mir wie versende ich diese. Und dachte mir ich nehme Electrum. Aber das war dann der Anfang vom wundern bei mir.
Ich gab meine bc1qr45gz75h78d3umt0yal2z7f2SSDFFCFCGFCFCJ   ( ausgedacht ) bei Electrum ein.

Als erstes Electrum wenn installiert öffnen
Dann auf Create New Wallet und Namen ausdenken
Dann auf Bitcoin Adressen oder Privat Key importieren
Dann den Privat key eingeben L1CnN6pFp3EVhqRZmPEB9QJZ1ZXS4Z6Wfshsjejkekekengnagtd7
Dann auf weiter und zwei mal das Passwort vergeben und voila.........ist in der Wallet kein BTC zu sehen .
Denn es fehlt etwas.
Man muss vor der bc1 Adresse etwas zusätzlich eingeben:
p2wpkh:bc1qr45gz75h78d3umt0yal2z7f2SSDFFCFCGFCFCJ

Also das p2wpkh:  gehört vor die Adresse .
Dann seht ihr auch nach ein paar Sekunden schon das Guthaben der Wallet.

Beginnt die Segwit mir einer 3 muss folgender Code davor gelegt werden : p2wpkh-p2sh:

Das jedenfalls sind meine Erfahrungen die ich vorgestern gemacht habe. Das ganze natürlich sehr vorsichtig handhaben und möglichst alles offline durchführen.
Habe mich am Anfang echt gewundert warum ich keine BTC sehen konnte  

Sollte etwas extrem falsch sein bitte korrigieren.Wird möglichst schnell abgestellt. Bei mir funktionierte es so allerbest:
Alle Adressen und Privatkeys sind frei erfunden hier.

[aundroid]

Electrum 4.04 wurde heute mit einem neuen Feature veröffentlicht.
Jetzt besteht die Möglichkeit mittels RBF nicht bestätigte Transaktionen abzubrechen.

* new feature: "Cancel tx" (#6641). The Qt/kivy GUI allows cancelling
   an unconfirmed RBF tx by double-spending its inputs to self.

[mole0815]

Danke dir für das durchaus wichtige Update nullCoiner.
Der Thread war ja schon älter und daher wurde er nie korrekt einsortiert in unserem Bereich.
Ich habe das jetzt nachgeholt und hoffe es passt hier hin. Falls es bessere Vorschläge gibt einfach "report" klicken und Bescheid geben

[Unknown01]

Es wäre vielleicht auch gut wenn wir hier irgendwo für Anfänger einen Link posten würden, der sie auf die richtige Downloadquelle verweist?

[bullrun2024bro]

Es wäre vielleicht auch gut wenn wir hier irgendwo für Anfänger einen Link posten würden, der sie auf die richtige Downloadquelle verweist?

Electrum würde ich ausschließlich über https://electrum.org/#download herunterladen.

Hierbei ist es essentiell die Echtheit der heruntergeladenen Dateien via GPG Signatur zu verifizieren. Anbei der Hinweis auf der Website von Electrum:

How to verify GPG signatures

GPG signatures are a proof that distributed files have been signed by the owner of the signing key. For example, if this website was compromised and the original Electrum files had been replaced, signature verification would fail, because the attacker would not be able to create valid signatures. (Note that an attacker would be able to create valid hashes, this is why we do not publish hashes of our binaries here, it does not bring any security).

In order to be able to verify GPG signatures, you need to import the public key of the signer. Electrum binaries are signed with ThomasV's public key. On Linux, you can import that key using the following command: gpg --import ThomasV.asc. Here are tutorials for Windows and MacOS. When you import a key, you should check its fingerprint using independent sources, such as here, or use the Web of Trust.

Quelle: https://electrum.org/#download

Auf der Website von Electrum findet man ein Tutorial (How to Verify an Electrum Download on Windows) wie das verifizieren der Signatur funktioniert.

Hier ein Auszug:

Public Key Cryptography to the Rescue

Many Bitcoin users are familiar with the idea of digital signatures. The same idea can be applied to software downloads. The developer signs a download with a private key. Users verify the download using the developer’s public key. A forged file that changes a single bit can be detected with this system, as can a developer who attempts to apply an invalid signature. The standard method for signing binaries is known as Pretty Good Privacy (PGP). Implementations are available for all operating systems.

Quelle: https://bitzuma.com/posts/how-to-verify-an-electrum-download-on-windows/

Die jeweilige Signatur der einzelnen Download-Dateien findet sich anschließend hier:



Quelle: https://electrum.org/#download

[mole0815]

Es wäre vielleicht auch gut wenn wir hier irgendwo für Anfänger einen Link posten würden, der sie auf die richtige Downloadquelle verweist?

Electrum würde ich ausschließlich über https://electrum.org/#download herunterladen.

Da hier schon die Signaturprüfung und ein paar andere Dinge niedergeschrieben sind habe ich kurz eingegriffen.
Also der Link ist im ersten Beitrag eingefügt und ich habe einen Tippfehler im Titel korrigiert damit die Boardsuche den Thread auch findet.
Im Normalfall vermeide ich solche Eingriffe aber ich hoffe Pumuckel21 nimmt es mir nicht übel und findet es OK wenn sein Thread jetzt aufgewertet wurde

[Real-Duke]

Da es an anderer Stelle bereits als Risiko erwähnt wurde, gibt es eine Liste von Electrum Servern zu denen man sich unbesorgt verbinden kann?
Nachdenklich hat mich dieser Post gemacht, da ich Electrum eigentlich immer einsetze auch zusammen mit meinem Ledger Nano S

Warnung: Wer Wallet oder Adressen per Electrum überwacht, deanonymisiert sich gegenüber dem Electrum-Server selbst!!!

Zum Nachrecherchieren hat mich folgender Beitrag gebracht:

https://asktom.cf/index.php?topic=5276680.msg55217179#msg55217179

Und folgende Aussage darin:

[...] Dazu sammeln sie  z.B. auch Daten von Electrum-Wallet anfragen für die sie selber jede Menge Server betreiben [...]

D.h., wer sich mit einem Electrum-Server verbindet und nach einer Balance fragt, ob nun mit oder ohne Privatekeys, muss die entsprechenden Adressen an den Server ausliefern.

https://medium.com/shiftcrypto/use-the-bitbox02-with-electrum-wallet-5088219b8497

Der Server weiss dann, dass sich eine bestimmte IP für bestimmte Adressen interessiert. Die IP selbst ist noch nicht mit einem Namen verknüpft, aber die Gegend, aus welcher die Anfrage kommt kann schon auf der Landkarte eingegrenzt werden. Zusätzlich ändern Standardrouter heutzutage nicht mehr regelmäßig die IP, sodass Angreifer möglicherweise versuchen könnten, diese zu hacken. Oder man kommt anderweitig and die Identität hinter der IP.

Also entweder mit TOR oder VPN oder gar nicht.