Electrum 在 4.8.3 版本修复加费被盗漏洞
比特币钱包 Electrum 修复加费被盗漏洞
内容摘要
ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。
来源：ChainCatcher 链捕手 · 中文资讯 · chaincatcher.com
打开原文所属事件
Electrum修复RBF加费被盗漏洞，已有用户受损
Electrum披露4.8.3之前所有版本存在高危漏洞：恶意服务器可扣留用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，用户通过RBF提高手续费时会为该交易签名，资金转入攻击者地址；攻击者还会生成与合法收款地址末四位相同的地址。Electrum称已有部分服务器在野实施攻击，两名用户报告相关情况，其中一人因加费损失资金，金额未披露。补丁（commit 90fe308）在写入本地历史前核对钱包自有输入的签名，但不覆盖钱包外地址输入，也不做完整共识验证。官方建议升级至4.8.3，未升级前签名须核对收款地址与金额，仅连接自建或可信服务器的用户不受影响。
最新变化：新增补丁细节：仅核对钱包自有输入签名，不覆盖外部地址输入。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
比特币 RBF 是什么？提高费率能否取消已经确认的交易
RBF 是节点处理未确认替代交易的一类策略。替换能否传播和被打包取决于当前节点、钱包与费用条件，它不用于撤回已经确认的支付。
RBF 是共识规则还是节点策略？
RBF 围绕内存池中的未确认交易替换。BIP 125 记录了历史上的选择性信号与替换策略，后续节点实现有所演进；不能用旧文档断言今天所有节点只接受同一种信号。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息Bitcoin.com News · 海外资讯
Electrum 4.8.3 修复高危漏洞，恶意服务器可借提费替换交易盗取比特币
查看摘要与出处
Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。
核对原文 ↗同一消息PANews
Electrum披露高危漏洞并发布4.8.3修复，已有用户资金受损
查看摘要与出处
PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。
核对原文 ↗同一消息Odaily 星球日报 · 重要快讯
Electrum 披露高危漏洞，恶意服务器可诱导用户把比特币发至攻击者地址
查看摘要与出处
据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。
核对原文 ↗同一事件的进展PANews
Electrum发布4.8.3修复严重安全问题，敦促用户立即升级
查看摘要与出处
PANews 10月24日消息，比特币钱包Electrum官方宣布发布4.8.3版本，称本次更新修复一项严重安全问题，并敦促所有用户升级，漏洞详细说明将于晚些时候公布。其GitHub更新日志将4.8.3标注为安全更新，发布日期为10月23日；Electrum官网提醒用户应仅从官网下载软件并核验GPG数字签名，以确认安装包来源及完整性。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同资产主题Odaily 星球日报 · 重要快讯
Bitcoin Treasuries 称 Strategy 旗下 MSTR 市值超越纳斯达克，跻身全球市值前 400 家公司
查看摘要与出处
Bitcoin Treasuries 在 X 平台发文称，Strategy 旗下 MSTR 市值现已超过美国交易所巨头纳斯达克，并跻身全球市值最高的 400 家公司之列。当前材料未提供具体市值数字及统计口径。
核对原文 ↗同资产主题动区 BlockTempo · 中文资讯
富兰克林坦伯顿两档比特币 DRIP ETF 招股说明书 10 月 27 日生效
查看摘要与出处
富兰克林坦伯顿两档比特币 DRIP ETF 于 10 月 22 日完成 Form 8-A 纳斯达克注册，485BPOS 招股说明书生效日为 10 月 27 日，两档产品尚未挂牌交易，官方首交易日仍标「尚未公开」。FBEQ 追踪 VettaFi US Large-Cap 500 Bitcoin DRIP Index，年费 0.09%；FIBT 追踪 VettaFi US Innovation 100 Bitcoin DRIP Index，年费 0.19%，均无 12b-1 费用。两档初始配置约 95% 美股加 5% 比特币敞口，指数层面将股息在除息日次日开盘改投入比特币敞口；季度再平衡时 BTC 权重逾 5% 减至 4.5%，两次再平衡之间收盘权重超 20% 则于次二交易日减回 4.5%。敞口通过比特币相关 ETP、期权、期货与存托凭证等实现，并非直接持有链上现货比特币的现货 BTC 产品。
核对原文 ↗
相关资产
BTC · Bitcoin
Bitcoin 原生资产；包装资产与 Bitcoin Cash 分开