ELECTRUM - BITCOIN WALLET

[ryzaadit]

Ini seperti yang terjadi kasus baru baru ini oleh pengguna Reddit yang kehilangan 70.000 USD (0,85 BTC), kasus nya hampir sama setelah menaikan biaya RBF addres nya langsung ke replace sendiri meskipun di awal sudah beberapa kali cek addres nya tetap sama.

Kebetulan ini saya udah baca sebelum agan salad daging share, ada yang re-share juga di X.

Masalah terkait 'server jahat' yang menyusup di daftar server Electrum sebenarnya dulu pernah terjadi juga.

Padahal bulan² agustus pas saya nyoba Ibis Wallet, nanya² tentang list verified atau setidaknya aman untuk Electrum. Kejadian juga sekarang, saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

Thanks om, ane coba pakai ini deh. Saya tau, walau seberapa terpercaya seseorang tetep harus subjektif mengenai hal macam ini. Tapi setidaknya agak lebih baik kalau pakai server si LoyceV karna kita tau siapa pemilik servernya + beliau juga keep up-to-date mengenai server beliau timbang pakai server lain yang kita gak tau apa² baik dari pemilik dan juga update.

[AakZaki]

saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Saya rasa terkait niat jahat Malicious Server sudah ada keterangan ini:

Code:

Server berbahaya dapat mengganti transaksi yang baru saja disiarkan ke jaringan dan mencoba mengelabui pengguna agar melakukan RBF (Replace-By-Fee) terhadap transaksi tersebut.

Selengkapnya disini=> https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v

Thanks om, ane coba pakai ini deh. Saya tau, walau seberapa terpercaya seseorang tetep harus subjektif mengenai hal macam ini. Tapi setidaknya agak lebih baik kalau pakai server si LoyceV karna kita tau siapa pemilik servernya + beliau juga keep up-to-date mengenai server beliau timbang pakai server lain yang kita gak tau apa² baik dari pemilik dan juga update.

Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

Sebagai contoh, si Owo punya Wallet A dan menggunakan Public Server milik Gib. Ketika Wallet A tersebut terekspos di forum ini misalnya, dan pemilik Public Server mengetahui bahwa itu adalah Wallet A milik Owo, maka Wallet B>C>D dan seterusnya berpotensi dapat dihubungkan dengan Wallet A oleh pemilik server, apabila alamat tersebut juga diperiksa melalui server yang sama.

[Husna QA]

saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Terkait penggunaan server di Electrum, kasus yang terbaru adalah Malicious server yang bisa me-replace address ketika user melakukan RBF yang dipicu oleh server tersebut.

—snip—
https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
(Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it)

Sementara untuk kasus yang dulu pernah juga terjadi di Electrum terkait server jahat, ketika user melakukan transaksi, mereka malah mendapat notifikasi 'error sending transaction' dan mencantumkan link agar meng-update Electrum yang padahal link tersebut adalah malware.


https://github.com/spesmilo/electrum/issues/4968#issue-394260722

Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

Sebagai contoh, si Owo punya Wallet A dan menggunakan Public Server milik Gib. Ketika Wallet A tersebut terekspos di forum ini misalnya, dan pemilik Public Server mengetahui bahwa itu adalah Wallet A milik Owo, maka Wallet B>C>D dan seterusnya berpotensi dapat dihubungkan dengan Wallet A oleh pemilik server, apabila alamat tersebut juga diperiksa melalui server yang sama.

Hal diatas adalah salah satu solusi yang mungkin bisa digunakan sebelum memiliki server sendiri.
Mengenai keterkaitan antar wallet pada illustrasi diatas, diantara solusi untuk memutus mata rantai transaskinya adalah dengan mengirim aset melalui DEX, layanan Mixing, atau yang sejenisnya sehingga Wallet A tidak terhubung langsung ke Wallet B dan seterusnya milik user tersebut.

[ryzaadit]

-snip-
Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

-snip-

Sementara untuk kasus yang dulu pernah juga terjadi di Electrum terkait server jahat, ketika user melakukan transaksi, mereka malah mendapat notifikasi 'error sending transaction' dan mencantumkan link agar meng-update Electrum yang padahal link tersebut adalah malware.


https://github.com/spesmilo/electrum/issues/4968#issue-394260722

-snip-

Ini yang saya cari.
Jadi, memang betul ada kasus lain yang berkaitan dengan Server Jahat. Rata-rata dari 2 kasus ini, saat/sehabis melakukan transaksi, berarti yang menggunakan server orang lain memang harus hati-hati pada saat melakukan transaksi. Jadi pelajaran untuk saya, terkait Server Electrum ini apalagi kalau pakai server orang lain. Thanks om!


So far, untuk sekarang memang tidak ada kebutuhan akan privasi jadi saya tidak ada masalah sama sekali. Untuk sekarang sudah saya setting menggunakan server dari LoyceV.

[LoyceV]

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

I see I was mentioned here several times, so forgive me for posting in English, but I want to post a warning: you should not trust my Electrum server! It's supposed to be trustless, and you should thorougly check all addresses before signing anything. That includes signing for RBF.
I won't do anything bad, but my server is running on a VPS, and like any other Electrum server, that can become a target for abusers. If someone gains access to my server, that's just not something to risk.
So make sure to only sign the transaction you want to sign, and don't rely on whatever transaction your Electrum shows you already. Just verify the data and amounts, so you can be absolutely sure you don't send it to an attacker.

[Husna QA]

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

I see I was mentioned here several times, so forgive me for posting in English, but I want to post a warning: you should not trust my Electrum server! It's supposed to be trustless, and you should thorougly check all addresses before signing anything. That includes signing for RBF.
I won't do anything bad, but my server is running on a VPS, and like any other Electrum server, that can become a target for abusers. If someone gains access to my server, that's just not something to risk.
So make sure to only sign the transaction you want to sign, and don't rely on whatever transaction your Electrum shows you already. Just verify the data and amounts, so you can be absolutely sure you don't send it to an attacker.

Ya, memeriksa semua data termasuk alamat Bitcoin tujuan, jumlah yang ditransfer dan biaya transaksi semestinya sudah menjadi hal dasar yang harus sudah dipahami pengguna wallet manapun ketika akan mengirimkan aset Bitcoin-nya termasuk ketika menggunakan wallet Electrum. Karena perubahan data alamat Bitcoin yang dituju bisa terjadi, baik karena adanya clipboard hijacking atau malicious server.

Jangan percaya 100% pada server milik orang lain dan tetap waspada ketika memilih menggunakan server manapun di Electrum, hanya saja bukan berarti semua server yang bisa dipilih di Electrum jahat semua kan? Setidaknya pilih server yang memiliki resiko paling rendah dibandingkan server lainnya kalaupun belum memiliki server sendiri.

Kalaupun ternyata server anda pun diretas, setidaknya dengan selalu memeriksa alamat tujuan (sebagaimana sebutkan di atas) akan menjadi pencegahan awal agar Bitcoin yang kita kirim tidak salah tujuan.


Yes, checking all the details, including the destination Bitcoin address, the amount transferred, and the transaction fee, should already be a basic practice that every wallet user should understand before sending their Bitcoin assets, including when using the Electrum wallet. This is because changes to the destination Bitcoin address can occur either due to clipboard hijacking or a malicious server.

Do not trust other people's servers 100%, and always remain cautious when choosing any server in Electrum. However, that does not mean that all the servers available for selection in Electrum are malicious, right? At the very least, if you do not have your own server yet, choose a server that has the lowest risk compared to other servers.

Even if your own server turns out to have been compromised, at least by always checking the destination address (as mentioned above), this will serve as an initial precaution to ensure that the Bitcoin we send does not end up at the wrong address.