Electrum於 2026 年 10 月 24 日發佈了 4.8.3 版本，修復了 Electrum 錢包的一個安全漏洞。該漏洞允許惡意服務器在提高交易手續費時誘騙用戶簽署付款給攻擊者的協議。開發人員收到了兩份用戶報告，其中一份涉及資金損失，並敦促所有用戶升級到最新版本。
要點總結
- 4.8.3 之前的 Electrum 版本存在漏洞。
- 手動增加費用可能會授權攻擊者進行替代支付。
- 該補丁會在接受受影響的未確認交易之前驗證簽名。
Electrum錢包安全漏洞的工作原理
惡意服務器可以隱藏用戶的原始支付記錄，並在錢包歷史記錄中將其替換爲指向攻擊者控制地址的衝突交易。Electrum 的安全公告指出，一些服務器已經開始實施這種攻擊。
該錢包使用服務器來檢索交易歷史記錄並廣播付款。其文檔將主服務器描述爲可信服務器，用於提供未確認交易的信息——而此次攻擊正是利用了這種信任。
被替換的交易包含無效簽名。舊版客戶端在未事先檢查這些簽名的情況下，會將其顯示爲未確認交易。如果用戶隨後通過“按手續費替換”（Replace-by-fee，簡稱RBF）手動增加手續費，錢包會簽署篡改後的付款並將資金髮送給攻擊者。
開發人員表示，兩名報告攻擊的用戶中，有一人在提高交易手續費後蒙受了損失。公告指出，在這兩起報告中，攻擊者的目標地址都與用戶最初打算付款的地址的最後四個字符相匹配。
4.8.3 版本有哪些變化
Electrum錢包安全漏洞的修復方案是在將未經確認的交易添加到本地歷史記錄之前，檢查花費錢包所持有代幣的交易輸入的簽名。此前，這些簽名在交易顯示之前並未經過檢查。
Electrum 在其發佈公告中寫道：“此次更新修復了一個關鍵的安全漏洞，因此我們強烈建議所有用戶升級。” 該公告指出， 4.8.3 之前的所有版本均受影響，但連接到受信任服務器（包括用戶自身服務器）的客戶端不受此次攻擊的影響。
對於尚未升級的用戶，Electrum建議在簽署任何交易（包括手續費增加）之前，手動檢查目標地址和金額。在其下載頁面上，用戶被告知必須僅從electrum.org獲取軟件，並檢查其GPG簽名。
Bull Bitcoin計劃匹配客戶端檢查
Bull Bitcoin 首席執行官Francis Pouliot表示，除非用戶手動選擇了被入侵的服務器，否則 BULL 錢包用戶不會受到影響。默認情況下，BULL 僅連接到 Bull Bitcoin 運營的兩臺服務器和 Blockstream 運營的一臺服務器。
Pouliot表示，連接到其他服務器需要用戶手動添加服務器地址。他還承諾會在錢包內部添加驗證功能：“不過，我們正在立即添加客戶端驗證，採用與Electrum錢包相同的方法。”他寫道。
本文由人工智能輔助生成，並經編輯團隊審覈。