ELECTRUM - BITCOIN WALLET

[ryzaadit]

Ini seperti yang terjadi kasus baru baru ini oleh pengguna Reddit yang kehilangan 70.000 USD (0,85 BTC), kasus nya hampir sama setelah menaikan biaya RBF addres nya langsung ke replace sendiri meskipun di awal sudah beberapa kali cek addres nya tetap sama.

Kebetulan ini saya udah baca sebelum agan salad daging share, ada yang re-share juga di X.

Masalah terkait 'server jahat' yang menyusup di daftar server Electrum sebenarnya dulu pernah terjadi juga.

Padahal bulan² agustus pas saya nyoba Ibis Wallet, nanya² tentang list verified atau setidaknya aman untuk Electrum. Kejadian juga sekarang, saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

Thanks om, ane coba pakai ini deh. Saya tau, walau seberapa terpercaya seseorang tetep harus subjektif mengenai hal macam ini. Tapi setidaknya agak lebih baik kalau pakai server si LoyceV karna kita tau siapa pemilik servernya + beliau juga keep up-to-date mengenai server beliau timbang pakai server lain yang kita gak tau apa² baik dari pemilik dan juga update.

[AakZaki]

saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Saya rasa terkait niat jahat Malicious Server sudah ada keterangan ini:

Code:

Server berbahaya dapat mengganti transaksi yang baru saja disiarkan ke jaringan dan mencoba mengelabui pengguna agar melakukan RBF (Replace-By-Fee) terhadap transaksi tersebut.

Selengkapnya disini=> https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v

Thanks om, ane coba pakai ini deh. Saya tau, walau seberapa terpercaya seseorang tetep harus subjektif mengenai hal macam ini. Tapi setidaknya agak lebih baik kalau pakai server si LoyceV karna kita tau siapa pemilik servernya + beliau juga keep up-to-date mengenai server beliau timbang pakai server lain yang kita gak tau apa² baik dari pemilik dan juga update.

Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

Sebagai contoh, si Owo punya Wallet A dan menggunakan Public Server milik Gib. Ketika Wallet A tersebut terekspos di forum ini misalnya, dan pemilik Public Server mengetahui bahwa itu adalah Wallet A milik Owo, maka Wallet B>C>D dan seterusnya berpotensi dapat dihubungkan dengan Wallet A oleh pemilik server, apabila alamat tersebut juga diperiksa melalui server yang sama.

[Husna QA]

saya penasaran aktivitas-aktivitas exploit apa yang bisa dilakukan oleh server yang punya niat jahat. Apakah bisa macam kayak ngasih, pops notification update yang menjurus ke fake site atau hal lainnya.^{(sorry agak ambigu)}

Terkait penggunaan server di Electrum, kasus yang terbaru adalah Malicious server yang bisa me-replace address ketika user melakukan RBF yang dipicu oleh server tersebut.

—snip—
https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
(Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it)

Sementara untuk kasus yang dulu pernah juga terjadi di Electrum terkait server jahat, ketika user melakukan transaksi, mereka malah mendapat notifikasi 'error sending transaction' dan mencantumkan link agar meng-update Electrum yang padahal link tersebut adalah malware.


https://github.com/spesmilo/electrum/issues/4968#issue-394260722

Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

Sebagai contoh, si Owo punya Wallet A dan menggunakan Public Server milik Gib. Ketika Wallet A tersebut terekspos di forum ini misalnya, dan pemilik Public Server mengetahui bahwa itu adalah Wallet A milik Owo, maka Wallet B>C>D dan seterusnya berpotensi dapat dihubungkan dengan Wallet A oleh pemilik server, apabila alamat tersebut juga diperiksa melalui server yang sama.

Hal diatas adalah salah satu solusi yang mungkin bisa digunakan sebelum memiliki server sendiri.
Mengenai keterkaitan antar wallet pada illustrasi diatas, diantara solusi untuk memutus mata rantai transaskinya adalah dengan mengirim aset melalui DEX, layanan Mixing, atau yang sejenisnya sehingga Wallet A tidak terhubung langsung ke Wallet B dan seterusnya milik user tersebut.

[ryzaadit]

-snip-
Yes, terkait server milik LoyceV ini sudah menjadi solusi mentok lainnya, selain menggunakan Private Server.
Namun yang perlu dipahami adalah, seseorang yang selalu menjaga privasi biasanya akan lebih memilih untuk menggunakan Private Server. Karena sifatnya Server Publik itu bisa mendeteksi atau mengaitkan alamat-alamat BTC lain nya yang ada di Electrum itu.

-snip-

Sementara untuk kasus yang dulu pernah juga terjadi di Electrum terkait server jahat, ketika user melakukan transaksi, mereka malah mendapat notifikasi 'error sending transaction' dan mencantumkan link agar meng-update Electrum yang padahal link tersebut adalah malware.


https://github.com/spesmilo/electrum/issues/4968#issue-394260722

-snip-

Ini yang saya cari.
Jadi, memang betul ada kasus lain yang berkaitan dengan Server Jahat. Rata-rata dari 2 kasus ini, saat/sehabis melakukan transaksi, berarti yang menggunakan server orang lain memang harus hati-hati pada saat melakukan transaksi. Jadi pelajaran untuk saya, terkait Server Electrum ini apalagi kalau pakai server orang lain. Thanks om!


So far, untuk sekarang memang tidak ada kebutuhan akan privasi jadi saya tidak ada masalah sama sekali. Untuk sekarang sudah saya setting menggunakan server dari LoyceV.

[LoyceV]

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

I was mentioned here several times, so forgive me for posting in English, but I want to post a warning: you should not trust my Electrum server! It's supposed to be trustless, and you should thorougly check all addresses before signing anything. That includes signing for RBF.
I won't do anything bad, but my server is running on a VPS, and like any other Electrum server, that can become a target for abusers. If someone gains access to my server, that's just not something to risk.
So make sure to only sign the transaction you want to sign, and don't rely on whatever transaction your Electrum shows you already. Just verify the data and amounts, so you can be absolutely sure you don't send it to an attacker.

[Husna QA]

Solusi yang mungkin bisa dilakukan adalah dengan menggunakan server sendiri, atau kalaupun belum memiliki server sendiri bisa dengan memilih opsi sever secara manual dan gunakan server yang disediakan user terpercaya di Bitcointalk seperti diantaranya server miliki LoyceV:
LoyceV's 0.1 sat/vbyte Electrum Server Adventure

I see I was mentioned here several times, so forgive me for posting in English, but I want to post a warning: you should not trust my Electrum server! It's supposed to be trustless, and you should thorougly check all addresses before signing anything. That includes signing for RBF.
I won't do anything bad, but my server is running on a VPS, and like any other Electrum server, that can become a target for abusers. If someone gains access to my server, that's just not something to risk.
So make sure to only sign the transaction you want to sign, and don't rely on whatever transaction your Electrum shows you already. Just verify the data and amounts, so you can be absolutely sure you don't send it to an attacker.

Ya, memeriksa semua data termasuk alamat Bitcoin tujuan, jumlah yang ditransfer dan biaya transaksi semestinya sudah menjadi hal dasar yang harus sudah dipahami pengguna wallet manapun ketika akan mengirimkan aset Bitcoin-nya termasuk ketika menggunakan wallet Electrum. Karena perubahan data alamat Bitcoin yang dituju bisa terjadi, baik karena adanya clipboard hijacking atau malicious server.

Jangan percaya 100% pada server milik orang lain dan tetap waspada ketika memilih menggunakan server manapun di Electrum, hanya saja bukan berarti semua server yang bisa dipilih di Electrum jahat semua kan? Setidaknya pilih server yang memiliki resiko paling rendah dibandingkan server lainnya kalaupun belum memiliki server sendiri.

Kalaupun ternyata server anda pun diretas, setidaknya dengan selalu memeriksa alamat tujuan (sebagaimana sebutkan di atas) akan menjadi pencegahan awal agar Bitcoin yang kita kirim tidak salah tujuan.


Yes, checking all the details, including the destination Bitcoin address, the amount transferred, and the transaction fee, should already be a basic practice that every wallet user should understand before sending their Bitcoin assets, including when using the Electrum wallet. This is because changes to the destination Bitcoin address can occur either due to clipboard hijacking or a malicious server.

Do not trust other people's servers 100%, and always remain cautious when choosing any server in Electrum. However, that does not mean that all the servers available for selection in Electrum are malicious, right? At the very least, if you do not have your own server yet, choose a server that has the lowest risk compared to other servers.

Even if your own server turns out to have been compromised, at least by always checking the destination address (as mentioned above), this will serve as an initial precaution to ensure that the Bitcoin we send does not end up at the wrong address.

[Chikito]

Ya, memeriksa semua data termasuk alamat Bitcoin tujuan, jumlah yang ditransfer dan biaya transaksi semestinya sudah menjadi hal dasar yang harus sudah dipahami pengguna wallet manapun ketika akan mengirimkan aset Bitcoin-nya termasuk ketika menggunakan wallet Electrum. Karena perubahan data alamat Bitcoin yang dituju bisa terjadi, baik karena adanya clipboard hijacking atau malicious server.

Jangan percaya 100% pada server milik orang lain dan tetap waspada ketika memilih menggunakan server manapun di Electrum, hanya saja bukan berarti semua server yang bisa dipilih di Electrum jahat semua kan? Setidaknya pilih server yang memiliki resiko paling rendah dibandingkan server lainnya kalaupun belum memiliki server sendiri.

Kalaupun ternyata server anda pun diretas, setidaknya dengan selalu memeriksa alamat tujuan (sebagaimana sebutkan di atas) akan menjadi pencegahan awal agar Bitcoin yang kita kirim tidak salah tujuan.

Memang pada intinya 1 yaitu mengecek 2, 3, atau bahkan 4 kali alamat tujuan sebelum kirim. Saya pun walau make metode offline, ketika hendak sign (offline) pun sampe 3 kali untuk ngecek alamat tujuan sudah benar. Lalu ketika hendak broadcast (ketika electrum saya bikin online dengan metode "watch only wallet), saya pun masih tetap memeriksa alamat yang dikirim sampe 3 kali sebelum memencet tombol broadcast.

Jadi ya, selalu mengecek dan memeriksa detil dalam melakukan transaksi itu menjadi bagian paling penting dalam penggunaan wallet. Percuma saja kita pake metode offline, atau security paling ketat sekalipun kalau hacker masih bisa menyusupi alamat tujuan di server, sehingga memeriksa address btc tujuan sampai 10x pun jadi prioritas utama saat ini. Apa lagi ketika hacker sudah tidak bisa ngehack wallet, dan server menjadi celah paling bisa, maka pengecekan alamat tujuan menjadi yang paling krusial harus kita lakukan pengecekan berkali-kali.

[joniboini]

Setidaknya pilih server yang memiliki resiko paling rendah dibandingkan server lainnya kalaupun belum memiliki server sendiri.

Tapi apakah ada list server Electrum dan seberapa lama/terpercaya mereka beroperasi di komunitas selama ini om? Atau ini terbatas ke menggunakan server yang pemilik kita ketahui saja maksudnya, kayak salah satu anggota member misalnya? Keknya opsi lain yang paling relevan adalah mencoba menjalankan server dan mengelolanya secara manual, walau mungkin agak berlebihan buat user yang dari awal mencari wallet yang sifatnya light client.

[Husna QA]

Setidaknya pilih server yang memiliki resiko paling rendah dibandingkan server lainnya kalaupun belum memiliki server sendiri.

Tapi apakah ada list server Electrum dan seberapa lama/terpercaya mereka beroperasi di komunitas selama ini om? Atau ini terbatas ke menggunakan server yang pemilik kita ketahui saja maksudnya, kayak salah satu anggota member misalnya? Keknya opsi lain yang paling relevan adalah mencoba menjalankan server dan mengelolanya secara manual, walau mungkin agak berlebihan buat user yang dari awal mencari wallet yang sifatnya light client.

Setahu saya tidak ada daftar server seperti yang dimaksudkan diatas. Yang saya maksudkan sebelumnya adalah lebih ke server mana yang setidaknya kita ketahui pemiliknya dan bagaimana reputasi dia (kalaupun user belum memiliki server sendiri). Kalaupun ternyata dikemudian hari servernya bermasalah (server sendiripun bisa saja bermasalah semisal diretas atau karena hal lainnya), secara dasar user mesti sudah memiliki kebiasaan untuk selalu memeriksa alamat BTC yang dituju, ketika dalam transaksi awal ataupun ketika me-replace transaksi menggunakan RBF.

Bagaimanapun, Electrum adalah merupakan lightweight wallet, salah satu metode yang digunakannya adalah Simple Payment Verification.

Simple Payment Verification

Simple Payment Verification (SPV) is a technique described in Satoshi Nakamoto’s paper. SPV allows a lightweight client to verify that a transaction is included in the Bitcoin blockchain, without downloading the entire blockchain. The SPV client only needs download the block headers, which are much smaller than the full blocks. To verify that a transaction is in a block, a SPV client requests a proof of inclusion, in the form of a Merkle branch.

SPV clients offer more security than web wallets, because they do not need to trust the servers with the information they send.

https://electrum.readthedocs.io/en/latest/spv.html

Kalaupun user masih merasa kurang cukup dengan keamanan yang diterapkan pada metode Simple Payment Verification, user bisa saja menggunakan server sendiri.
Menjalankan Bitcoin dengan full node, dll.

[Husna QA]

ELECTRUM v4.8.4 | "15th Anniversary Edition :)"  6 November 2026

Salah satu wallet Bitcoin ini sekarang sudah mencapai 15 tahun sejak pertama kali diperkenalkan di Bitcointalk pada 5 November 2011 yang lalu oleh ThomasV:
[ANNOUNCE] Electrum - Lightweight Bitcoin Client

Link resmi: https://download.electrum.org/4.8.4/ - https://electrum.org/#download

Versi Electrum yang dirilis kali ini lebih ke security update

Code:

# Release 4.8.4 - "15th Anniversary Edition :)" (November 6, 2026) (security update)
 * Security fixes for reports received from:
   - Felipe Knorr Kuhn (knorrium)
   - muntedcrocodile
   - haoxucu
 * security fixes and disclosures:
   - lightning: onion messages:
      - malformed incoming onion messages of arbitrary origin could make Electrum disconnect from its channel peer
 * Onchain / Wallet:
   - fix: restoring pre-2.0 seeds that decode to an odd-length hex string (broken since 4.6.1) (#11047)
   - fix: slow child tx computation (e.g. when removing a local tx), RecursionError on long tx chains (#11117)
 * Qt GUI (desktop):
   - fix: Coins tab freezing in large wallets due to slow parent tx computation (#11091)
   - fix: show a clear error instead of a crash report when opening a file that is not a wallet or cannot be read (#11094, #11096)
   - fix: spinner getting stuck in send tab (#11114)
 * QML GUI & Android:
   - new: tap transaction inputs to open the address or the funding transaction (#11087)
   - new: address history page (#10749)
   - changed: stop opting out of native heap pointer tagging (spesmilo/python-for-android/4cd8623)
   - changed: cleanup: remove unused kivy launcher functionality (spesmilo/python-for-android/09f4e21)
   - fix: don't crash when tx not found in transaction details view (#11037)
   - fix: restore active search text when opening Addresses page (#11106)
   - fix: stale UTXOs in coin/address list (#11086, #11088)
   - fix: crash when tapping OK while the password dialog is closing (#11104)
 * Lightning:
   - changed: drop incoming onion messages until we implement an actual use case (#11123)
   - fix: refuse channel announcements with two equal node IDs (#11095)
   - fix: handle invalid onion messages gracefully (#11123)
 * Contrib:
   - fix: AppImage not working on Wayland, reduce binary size (#11079)

https://github.com/spesmilo/electrum/blob/master/RELEASE-NOTES