Unchained：恶意 Electrum 服务器借诱导提费窃取比特币，官方修复版本 4.8.3 发布
Malicious Electrum Servers Steal Bitcoin by Baiting Users Into Fee Bumps
内容摘要
Electrum 开发者 10 月 24 日发布安全通告，称 4.8.3 之前所有版本存在高危漏洞且已被在野利用：恶意服务器可扣下真实支付，向钱包展示一份收款地址被替换成攻击者的伪造交易，钱包未校验该伪造交易的签名便将其显示为进行中；其中一笔伪造交易未付手续费，疑似诱导用户提费，用户提费后 Electrum 签署了支付给攻击者的有效替换交易。开发者收到两起受害报告，受害者称窃贼地址末尾四位与原收款地址相同。4.8.3 版本新增一项校验，对花费钱包自身代币的内存池交易在进入本地记录前验证签名；通告称连接可信服务器（如自建）的客户端不受影响，未升级用户应每次核对屏幕上的输出地址。通告和发布说明均未披露被盗金额及涉事服务器。
恶意服务器伪造低费交易诱导用户提费，升级 4.8.3 或自建可信服务器可规避。
来源：Unchained · 采访与独立报道 · unchainedcrypto.com
打开原文所属事件
Electrum修复RBF加费被盗漏洞，已有用户受损
Electrum于10月24日披露4.8.3之前所有版本存在高危漏洞并已在野利用：恶意服务器扣留用户广播的交易，在钱包历史中替换为向攻击者地址付款的冲突交易，用户通过RBF提高手续费时会为其签名，资金转入攻击者地址；攻击者使伪造地址末四位与合法收款地址相同，其中一笔伪造交易设为零手续费以诱导提费。两名用户报告受害，其中一人提费后损失资金，金额未披露。补丁（commit 90fe308）在写入本地历史前验证钱包自有输入签名，但不覆盖钱包外地址输入，也不做完整共识验证。官方建议升级至4.8.3，未升级前签名须核对收款地址与金额，仅连接自建或可信服务器的用户不受影响。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息ChainCatcher 链捕手 · 中文资讯
Electrum 在 4.8.3 版本修复加费被盗漏洞
查看摘要与出处
ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。
核对原文 ↗同一消息Bitcoin.com News · 海外资讯
Electrum 4.8.3 修复高危漏洞，恶意服务器可借提费替换交易盗取比特币
查看摘要与出处
Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。
核对原文 ↗同一消息PANews
Electrum披露高危漏洞并发布4.8.3修复，已有用户资金受损
查看摘要与出处
PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。
核对原文 ↗同一消息Odaily 星球日报 · 重要快讯
Electrum 披露高危漏洞，恶意服务器可诱导用户把比特币发至攻击者地址
查看摘要与出处
据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。
核对原文 ↗同一事件的进展PANews
Electrum发布4.8.3修复严重安全问题，敦促用户立即升级
查看摘要与出处
PANews 10月24日消息，比特币钱包Electrum官方宣布发布4.8.3版本，称本次更新修复一项严重安全问题，并敦促所有用户升级，漏洞详细说明将于晚些时候公布。其GitHub更新日志将4.8.3标注为安全更新，发布日期为10月23日；Electrum官网提醒用户应仅从官网下载软件并核验GPG数字签名，以确认安装包来源及完整性。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同资产主题深潮 TechFlow · Web3 资讯
QCP：BTC跌破8万美元，本周FOMC会议与科技财报成关键变量
查看摘要与出处
据QCP Capital市场分析，BTC周末跌破8万美元，处于近期区间下沿，中东局势升温与上周后期ETF资金流出触发杠杆多头平仓。QCP认为本周主要变量为10月27-28日FOMC会议及科技巨头财报，微软、Alphabet将于10月28日公布财报，亚马逊10月29日公布；CME FedWatch显示10月加息25个基点概率为9%，12月加息概率约84%，市场关注美联储主席沃什记者会。技术面上BTC支撑位7.8万美元、阻力位8.6万美元，Glassnode数据显示ETF持有者与国库公司持仓成本区间为8万至8.15万美元；ETH支撑位2,150美元、阻力位2,500美元，ETH ETF连续第四周净流出2.207亿美元。QCP基准预期为美联储按兵不动，BTC在7.8万至8.6万美元之间震荡。
核对原文 ↗
相关资产
BTC · Bitcoin
Bitcoin 原生资产；包装资产与 Bitcoin Cash 分开