Electrum于 2026 年 10 月 24 日发布了 4.8.3 版本，修复了 Electrum 钱包的一个安全漏洞。该漏洞允许恶意服务器在提高交易手续费时诱骗用户签署付款给攻击者的协议。开发人员收到了两份用户报告，其中一份涉及资金损失，并敦促所有用户升级到最新版本。
要点总结
- 4.8.3 之前的 Electrum 版本存在漏洞。
- 手动增加费用可能会授权攻击者进行替代支付。
- 该补丁会在接受受影响的未确认交易之前验证签名。
Electrum钱包安全漏洞的工作原理
恶意服务器可以隐藏用户的原始支付记录，并在钱包历史记录中将其替换为指向攻击者控制地址的冲突交易。Electrum 的安全公告指出，一些服务器已经开始实施这种攻击。
该钱包使用服务器来检索交易历史记录并广播付款。其文档将主服务器描述为可信服务器，用于提供未确认交易的信息——而此次攻击正是利用了这种信任。
被替换的交易包含无效签名。旧版客户端在未事先检查这些签名的情况下，会将其显示为未确认交易。如果用户随后通过“按手续费替换”（Replace-by-fee，简称RBF）手动增加手续费，钱包会签署篡改后的付款并将资金发送给攻击者。
开发人员表示，两名报告攻击的用户中，有一人在提高交易手续费后蒙受了损失。公告指出，在这两起报告中，攻击者的目标地址都与用户最初打算付款的地址的最后四个字符相匹配。
4.8.3 版本有哪些变化
Electrum钱包安全漏洞的修复方案是在将未经确认的交易添加到本地历史记录之前，检查花费钱包所持有代币的交易输入的签名。此前，这些签名在交易显示之前并未经过检查。
Electrum 在其发布公告中写道：“此次更新修复了一个关键的安全漏洞，因此我们强烈建议所有用户升级。” 该公告指出， 4.8.3 之前的所有版本均受影响，但连接到受信任服务器（包括用户自身服务器）的客户端不受此次攻击的影响。
对于尚未升级的用户，Electrum建议在签署任何交易（包括手续费增加）之前，手动检查目标地址和金额。在其下载页面上，用户被告知必须仅从electrum.org获取软件，并检查其GPG签名。
Bull Bitcoin计划匹配客户端检查
Bull Bitcoin 首席执行官Francis Pouliot表示，除非用户手动选择了被入侵的服务器，否则 BULL 钱包用户不会受到影响。默认情况下，BULL 仅连接到 Bull Bitcoin 运营的两台服务器和 Blockstream 运营的一台服务器。
Pouliot表示，连接到其他服务器需要用户手动添加服务器地址。他还承诺会在钱包内部添加验证功能：“不过，我们正在立即添加客户端验证，采用与Electrum钱包相同的方法。”他写道。
本文由人工智能辅助生成，并经编辑团队审核。