Electrum 发布 4.8.3 修复高危漏洞，恶意服务器曾诱导用户向攻击者地址付款
Bitcoin Wallet Fixes Critical Flaw That Redirected Funds to Attackers
内容摘要
比特币钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，修复一个高危漏洞：恶意服务器可压制真实交易并注入伪造的冲突交易，显示攻击者地址和零手续费，使支付看似卡住；用户对看似停滞的交易提高手续费时，实际签名并广播的是支付给攻击者的新交易。开发者 SomberNight 的安全公告称已有服务器在野外实施该攻击，用户 Raju-K12 于 10 月 18 日确认在提高手续费后损失资金。4.8.3 在将未确认交易加入本地记录前验证钱包自有输入的签名，但来自外部发送方、输入均不属于用户钱包的转入交易仍未验签，公告承认该缺口需额外工作才能关闭。仅连接自建服务器的用户不受影响。
来源：Decrypt · decrypt.co
打开原文所属事件
Electrum修复RBF加费被盗漏洞，已有用户受损
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息Unchained · 采访与独立报道
Unchained：恶意 Electrum 服务器借诱导提费窃取比特币，官方修复版本 4.8.3 发布
查看摘要与出处
Electrum 开发者 10 月 24 日发布安全通告，称 4.8.3 之前所有版本存在高危漏洞且已被在野利用：恶意服务器可扣下真实支付，向钱包展示一份收款地址被替换成攻击者的伪造交易，钱包未校验该伪造交易的签名便将其显示为进行中；其中一笔伪造交易未付手续费，疑似诱导用户提费，用户提费后 Electrum 签署了支付给攻击者的有效替换交易。开发者收到两起受害报告，受害者称窃贼地址末尾四位与原收款地址相同。4.8.3 版本新增一项校验，对花费钱包自身代币的内存池交易在进入本地记录前验证签名；通告称连接可信服务器（如自建）的客户端不受影响，未升级用户应每次核对屏幕上的输出地址。通告和发布说明均未披露被盗金额及涉事服务器。
核对原文 ↗同一消息ChainCatcher 链捕手 · 中文资讯
Electrum 在 4.8.3 版本修复加费被盗漏洞
查看摘要与出处
ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。
核对原文 ↗同一消息Bitcoin.com News · 海外资讯
Electrum 4.8.3 修复高危漏洞，恶意服务器可借提费替换交易盗取比特币
查看摘要与出处
Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。
核对原文 ↗同一消息PANews
Electrum披露高危漏洞并发布4.8.3修复，已有用户资金受损
查看摘要与出处
PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。
核对原文 ↗同一消息Odaily 星球日报 · 重要快讯
Electrum 披露高危漏洞，恶意服务器可诱导用户把比特币发至攻击者地址
查看摘要与出处
据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。
核对原文 ↗同一事件的进展PANews
Electrum发布4.8.3修复严重安全问题，敦促用户立即升级
查看摘要与出处
PANews 10月24日消息，比特币钱包Electrum官方宣布发布4.8.3版本，称本次更新修复一项严重安全问题，并敦促所有用户升级，漏洞详细说明将于晚些时候公布。其GitHub更新日志将4.8.3标注为安全更新，发布日期为10月23日；Electrum官网提醒用户应仅从官网下载软件并核验GPG数字签名，以确认安装包来源及完整性。
核对原文 ↗
相关资产
BTC · Bitcoin
Bitcoin 原生资产；包装资产与 Bitcoin Cash 分开