Electrum 4.8.4 coupe les messages onion Lightning après un signalement de déconnexion

Le portefeuille Electrum a publié le 6 novembre 2026 sa version 4.8.4, baptisée « 15th Anniversary Edition » pour les quinze ans du logiciel. C'est, d'abord, une mise à jour de sécurité : le client ignore désormais tous les messages onion Lightning entrants après qu'un défaut de traitement a été signalé, selon les notes de version officielles du dépôt spesmilo/electrum et la note de bitcoin.fr publiée le même jour.

Ce qui est corrigé côté Lightning

Le défaut, signalé par Felipe Knorr Kuhn (knorrium), muntedcrocodile et haoxucu, concerne la gestion des messages onion sur le canal Lightning. D'après les notes de version, des messages onion malformés, quelle qu'en soit l'origine, pouvaient provoquer la déconnexion du client de son pair Lightning. La correction est double :

1. Les messages onion entrants sont maintenant ignorés par défaut. Le dépôt justifie cette coupure par l'absence de cas d'usage concret actuel côté Electrum — tant qu'il n'y en a pas, la surface d'attaque disparaît.
2. Les messages onion invalides sont traités proprement quand ils doivent l'être, sans faire tomber la session.

Une autre correction Lightning, moins liée au signalement initial, refuse désormais les annonces de canal (channel_announcement) dont les deux node_id sont identiques — un paquet mal formé que le routage ne devrait jamais accepter.

Les autres correctifs utiles

La 4.8.4 regroupe plusieurs correctifs techniques indépendants du cœur sécurité :

• Restauration des anciennes seeds pré-Electrum 2.0 dont le décodage hex produit une chaîne de longueur impaire — fonctionnalité cassée depuis la 4.6.1, remise en service.
• Calcul des transactions enfants : plus de récursion lente ni d'erreurs sur les longues chaînes de transactions non confirmées.
• Interface Qt desktop : l'onglet Coins ne gèle plus sur les gros portefeuilles ; l'ouverture d'un fichier non reconnu affiche un message d'erreur clair au lieu d'un rapport de crash ; le spinner bloqué de l'onglet Send est corrigé.
• QML / Android : UTXO stales dans les listes résolus, crash sur fermeture du dialogue de mot de passe corrigé, crash sur transaction introuvable dans le détail corrigé. Nouveauté UX : une page d'historique par adresse, et les entrées de transaction deviennent cliquables pour remonter à l'adresse ou à la transaction source.
• Packaging : l'AppImage fonctionne désormais sous Wayland et pèse moins.

Rapport avec la 4.8.3

La 4.8.3, sortie le 24 octobre 2026, fermait une faille très différente : GHSA-6jp4-8v48-cc5v, exploitée dans la nature, permettait à un serveur Electrum malveillant de piéger un utilisateur sur un Replace-by-Fee pour détourner ses bitcoins (notre analyse de la 4.8.3). La 4.8.4 n'y touche pas — elle traite un vecteur distinct, côté Lightning, sans identifiant CVE ou GHSA publié à ce stade.

- Version :              4.8.4 (« 15th Anniversary Edition »)
- Date de publication :  6 novembre 2026
- Type :                 mise à jour de sécurité + corrections
- Zone principale :      traitement des messages onion Lightning
- Avis GHSA/CVE :        aucun identifiant publié à ce jour
- Rapporteurs :          Felipe Knorr Kuhn (knorrium), muntedcrocodile, haoxucu

Action immédiate

1. Mettre à jour vers 4.8.4 depuis electrum.org. La 4.8.3 reste exposée au défaut de traitement onion décrit ci-dessus.
2. Vérifier la signature cryptographique du binaire téléchargé avant installation — procédure standard documentée par le projet, à ne pas sauter sur une version de sécurité.
3. Utilisateurs d'Electrum avec canaux Lightning actifs : la déconnexion signalée ne vide pas les canaux, mais oblige à redémarrer et à surveiller l'état du pair. La 4.8.4 ferme ce vecteur.

Contexte

Electrum enchaîne deux mises à jour de sécurité en treize jours, sur deux surfaces distinctes : la 4.8.3 fermait une faille côté client léger — serveur Electrum, exploitée dans la nature ; la 4.8.4 colmate un défaut de traitement côté pair Lightning. Le modèle d'Electrum — un portefeuille Bitcoin longtemps mono-chaîne qui a greffé Lightning — produit deux surfaces d'attaque hétérogènes, et chacune suit son propre tempo de correctifs. La décision de désactiver par défaut les messages onion entrants jusqu'à ce qu'ils servent un cas d'usage concret est une position défensive assumée : en l'absence de fonction qui en dépend, le code qui les traite n'a pas à être exposé.

Le quinzième anniversaire de la 4.8.4 rappelle au passage l'âge du client : 2011, maintenu par Thomas Voegtlin et ses contributeurs. Peu de logiciels Bitcoin tiennent cette ligne-là.

Sources :

• GitHub — spesmilo/electrum RELEASE-NOTES (4.8.4) (source primaire, 6 nov. 2026).
• bitcoin.fr — Electrum 4.8.4 : une nouvelle mise à jour de sécurité (8 nov. 2026).
• GitHub Security Advisory GHSA-6jp4-8v48-cc5v (contexte 4.8.3).