Accélérer un paiement bitcoin sans se faire voler

Daniel Platteau crypto news

En bref : le 24 octobre 2026, le portefeuille bitcoin Electrum a publié la version 4.8.3 pour corriger une faille déjà exploitée : un serveur malveillant pouvait remplacer votre paiement par une fausse transaction, sans frais, qui semblait bloquée. Si vous augmentiez les frais pour l'accélérer (la fonction RBF), c'était votre portefeuille qui signait… le paiement vers le pirate. Au moins un utilisateur a perdu des fonds. Si vous utilisez Electrum : mettez à jour (menu Aide > À propos), et d'ici là, n'accélérez aucune transaction. Pour tout le monde, une règle : avant de signer, vérifiez l'adresse et le montant, sur l'écran de votre portefeuille matériel si vous en avez un.

Mis à jour le 30 octobre 2026. Cet article ne constitue pas un conseil financier.

Pourquoi une transaction bitcoin reste bloquée

Quand vous envoyez des bitcoins, votre transaction n'est pas inscrite tout de suite dans la blockchain. Elle attend d'abord dans la mempool, la salle d'attente des transactions non confirmées. Les mineurs, qui produisent un bloc toutes les dix minutes en moyenne, choisissent en priorité celles qui paient les frais les plus élevés par unité de taille.

Si vous avez payé trop peu au moment où le réseau est chargé, votre transaction peut rester en attente des heures, voire des jours. Rien n'est perdu : tant qu'elle n'est pas confirmée, elle n'est pas définitive. Mais le destinataire attend son paiement, et vous voulez le débloquer.

Deux façons d'accélérer : RBF et CPFP

RBF est le plus simple et le plus utilisé : dans la plupart des portefeuilles, il suffit d'un clic droit sur la transaction en attente et de « Augmenter les frais ». Depuis la version 28 de Bitcoin Core (2024), les nœuds qui l'utilisent acceptent par défaut le remplacement d'une transaction non confirmée par une version qui paie davantage, dans le respect des règles de remplacement.

C'est ce geste banal que l'attaque contre Electrum a détourné.

L'attaque contre Electrum, étape par étape

Electrum est l'un des plus anciens portefeuilles bitcoin, très apprécié pour sa légèreté. Pour rester léger, il ne télécharge pas toute la blockchain : il interroge des serveurs Electrum, souvent gérés par des bénévoles, pour connaître l'historique de vos adresses et pour diffuser vos paiements. Pour les transactions confirmées, il vérifie ce que le serveur lui dit ; pour les transactions non confirmées, il lui faisait confiance (Forklog, 2026).

L'avis de sécurité GHSA-6jp4-8v48-cc5v décrit l'attaque ainsi (Electrum, 2026 ; Safeguard, 2026 ; TFTC, 2026) :

1. Vous signez un paiement et cliquez sur « Diffuser ». Electrum le confie au serveur auquel il est connecté.
2. Le serveur malveillant ne le transmet pas au réseau. Votre vrai paiement n'existe donc nulle part.
3. Il renvoie à votre portefeuille une fausse transaction : mêmes bitcoins dépensés, mais vers l'adresse du pirate. Chez les deux utilisateurs qui ont signalé l'attaque, cette adresse se terminait par les mêmes quatre caractères que celle du vrai destinataire.
4. Sa signature est invalide, mais Electrum l'affiche quand même dans l'historique, comme « non confirmée ».
5. Elle ne paie aucun frais : elle paraît bloquée. Vous augmentez donc les frais avec RBF… et Electrum signe une nouvelle version, cette fois valide, de la transaction du pirate. Elle part sur le réseau et est minée.

Point essentiel : aucune clé privée n'a été volée et la cryptographie de Bitcoin n'est pas en cause. C'est vous qui signez, sur la base d'informations falsifiées.

Chronologie

Sources : Chaincatcher (2026) ; Coin Turk (2026).

Le montant volé et le nombre de serveurs malveillants n'ont pas été publiés. Ce n'est pas la première fois que des serveurs Electrum sont utilisés contre leurs utilisateurs : fin 2018 et en 2019, de faux serveurs affichaient des messages invitant à installer une « mise à jour » piégée (KuCoin, 2026).

Ce que corrige la version 4.8.3

Electrum vérifie désormais les signatures des transactions non confirmées qui dépensent vos propres bitcoins avant de les ajouter à l'historique. Une fausse transaction comme celle du pirate est rejetée avant même que vous la voyiez (TFTC, 2026).

La correction a une limite, que les développeurs indiquent eux-mêmes : les transactions entrantes non confirmées ne sont toujours pas vérifiées de cette façon (Forklog, 2026). Un serveur malveillant pourrait encore vous faire croire à un paiement reçu qui n'existe pas. Un paiement non confirmé n'est pas un paiement reçu, surtout si vous livrez une marchandise en échange.

Que faire si vous utilisez Electrum

1. Vérifiez votre version : menu Aide > À propos sur ordinateur, fiche de l'application sur Android. En dessous de 4.8.3, vous êtes concerné.
2. Mettez à jour depuis electrum.org uniquement, et vérifiez la signature du fichier si vous savez le faire. Windows Defender peut afficher une alerte sur le fichier ZXing.dll : les développeurs indiquent qu'il s'agit d'un faux positif (Forklog, 2026).
3. D'ici là, n'augmentez les frais d'aucune transaction. Sans ce geste, la fausse transaction n'est qu'une image dans votre historique.
4. Contrôlez votre historique. Une transaction sortante que vous ne reconnaissez pas, ou qui ne paie aucun frais, est suspecte. Comparez avec un explorateur public (mempool.space, par exemple) : si votre transaction n'y apparaît pas, le serveur ne l'a pas diffusée. Et si elle y apparaît, vérifiez aussi l'adresse de destination et le montant, pas seulement sa présence.
5. Si vous avez un nœud Bitcoin, connectez Electrum à votre propre serveur : les utilisateurs reliés uniquement à un serveur de confiance n'étaient pas exposés (Bitcoin.com News, 2026).

Les autres portefeuilles qui utilisent des serveurs Electrum ne sont pas cités dans l'avis, qui ne concerne que le logiciel Electrum. Si le vôtre fonctionne de la même façon, la question à poser à son éditeur est simple : vérifie-t-il les transactions non confirmées que le serveur lui envoie ?

Accélérer un paiement sans risque : la check-list

Valable avec n'importe quel portefeuille, Electrum à jour compris :

• Avant d'augmenter les frais, relisez la transaction : adresse complète du destinataire (pas seulement le début et la fin), montant, monnaie rendue vers votre propre adresse.
• Sur un portefeuille matériel, lisez l'écran de l'appareil, pas celui de l'ordinateur.
• Méfiez-vous d'une transaction à zéro frais que vous n'avez pas choisie : aucun portefeuille sérieux n'en propose par défaut.
• Payez des frais corrects dès le départ : la plupart des portefeuilles proposent une estimation selon le délai souhaité. Une transaction bien payée n'a pas besoin d'être accélérée.
• Gardez une trace de vos paiements (date, montant, adresse, identifiant de transaction) : utile en cas de litige, et pour la fiscalité belge des cryptos, qui demande de pouvoir justifier ses opérations.

Pour les montants importants, un portefeuille matériel reste le meilleur choix ; nos conseils pour sécuriser ses cryptos sont dans cet article. Et si vous débutez, notre page Bitcoin rappelle les bases.

Vrai ou faux ?

« Le pirate a volé les clés privées des utilisateurs d'Electrum. » Faux. Les clés sont restées chez leurs propriétaires ; ce sont eux qui ont signé une transaction falsifiée.

« Bitcoin a une faille. » Faux. Le protocole a fonctionné normalement. La faille était dans la façon dont Electrum faisait confiance à ses serveurs.

« Avec un portefeuille matériel, j'étais à l'abri. » Pas forcément. L'appareil signe ce qu'on lui présente : il ne protège que si vous vérifiez l'adresse sur son écran.

« Une transaction non confirmée affichée dans mon portefeuille est forcément sur le réseau. » Faux. Un serveur peut ne pas l'avoir diffusée, ou en afficher une fausse. Un explorateur indépendant permet de vérifier.

« Accélérer une transaction avec RBF est risqué en soi. » Faux. RBF est une fonction normale de Bitcoin. Le risque venait de la transaction que l'on accélérait, pas du mécanisme.

Testez-vous

Avertissement

Cet article est informatif et ne constitue ni un conseil en investissement ni un conseil juridique. Les informations sur la faille proviennent de l'avis de sécurité d'Electrum et des analyses publiées au 30 octobre 2026. Les crypto-actifs comportent des risques importants, y compris de perte totale.

Sources

Bitcoin.com News. (2026, octobre). Electrum wallet attack hid bitcoin theft behind a fee increase. https://news.bitcoin.com/electrum-wallet-attack-hid-bitcoin-theft-behind-a-fee-increase/

Chaincatcher. (2026, 26 octobre). Electrum Bitcoin wallet fixes the theft vulnerability with a fee increase. https://www.chaincatcher.com/en/article/2298911

Coin Turk. (2026, 27 octobre). Electrum fixes bitcoin theft flaw after rogue server attacks. https://en.coin-turk.com/electrum-fixes-bitcoin-theft-flaw-after-rogue-server-attacks/

Electrum. (2026, 24 octobre). Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it (GHSA-6jp4-8v48-cc5v). GitHub. https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v

Forklog. (2026, octobre). Electrum user loses bitcoin in transaction acceleration attempt. https://forklog.com/en/?p=105820

KuCoin. (2026, octobre). Electrum wallet patches security vulnerability; hackers steal bitcoin. https://www.kucoin.com/news/flash/electrum-wallet-patches-security-vulnerability-hackers-steal-bitcoin

Safeguard. (2026, 25 octobre). Electrum 4.8.3: malicious server transaction swap via RBF exploited. https://safeguard.sh/resources/blog/electrum-4-8-3-malicious-server-transaction-swap-rbf-exploited

TFTC. (2026, 26 octobre). Electrum 4.8.3 patches actively exploited RBF fee-bump theft flaw. https://www.tftc.io/electrum-4-8-3-rbf-fee-bump-exploit-patch