Exchange Ranking
Top Exchanges
24h Volume Ranking
Popularity Ranking
Exchange BTC Balance
Proof of Reserves
Decentralized Exchanges
Funding Rate
Funding Heatmap
Liquidation Data
Max Pain
Long/Short Ratio
Whale L/S Ratio
Binance/Okex/Huobi L/S
Bitfinex Margin L/S
ETF Tracker
Solana ETF
XRP ETF
Hong Kong ETF
Bitcoin Treasuries
Crypto Reversal
Ethereum Reserves
HyperLiquid Wallet Analysis
Hyperliquid Whale Watch
Large Transactions
On-chain Movement
Bitcoin ROI
Stablecoin Market Cap
Options Analysis
News
Articles
Economic Calendar
Features
Wallet
Contract Calculator
Security
Collections
Watchlist
Following
BTC Electrum 发布 4.8.3 版本修复高危漏洞：恶意服务器利用漏洞重定向用户资金
Electrum 发布了 4.8.3 版本，以修复一个严重的高危比特币钱包漏洞。此前，该漏洞已被恶意服务器利用来重定向用户支付，开发者证实至少发生了一起资金被盗案件。
漏洞详情与攻击机制
在确认恶意服务器正在利用这一高危漏洞后，Electrum 紧急推出了 4.8.3 版本。攻击者通过替换待处理的比特币支付交易，使用户在尝试提高交易手续费时，误授权了欺诈性交易。
已有两名用户报告了相关事件，其中一人因增加交易手续费而损失了比特币。该漏洞影响了 4.8.3 之前的所有 Electrum 版本，但开发者尚未披露总损失金额。
此次安全补丁的核心在于对花费由钱包控制的资金的未确认交易进行签名验证。根据钱包于 10 月 24 日发布的《安全公告》，攻击者利用了 Electrum 处理未确认比特币交易的方式，将合法的 outgoing payments（支出交易）替换为欺诈性交易。当用户试图提高交易手续费时，可能会无意中批准这些欺诈性交易。
Electrum 是一款轻量级比特币钱包，它连接外部服务器以获取交易历史、广播交易及其他网络信息。与全节点不同，该软件不独立处理区块链活动的每一个方面。其文档指出，Electrum 通过简化支付验证（SPV）来确认已确认的交易，但在显示待处理交易时，历史上一直信任其主要服务器。
攻击者利用了这一区别，拦截了通过恶意服务器提交但尚未到达比特币网络的交易。在阻止合法交易被广播后，攻击者可以向钱包发送一笔替换交易，将收款地址更改为由攻击者控制的地址。尽管这笔替换交易带有无效的签名，但易受攻击的 Electrum 版本在将交易显示在钱包历史记录之前并未检查签名。
这种欺骗行为在用户尝试通过“按费替换”（Replace-by-Fee, RBF）提高交易手续费时变得极具危险性。RBF 是比特币的一项功能，允许用另一笔支付更高费用的交易来替换未确认的付款。通过批准手续费调整，用户可能在不知情的情况下签署了一笔支付给攻击者的有效交易。
真实案例证实漏洞已被利用
开发者披露了两起私下报告的事故，确立了该漏洞已从理论攻击转变为实际威胁：
- 10 月 11 日：一名用户（dannydeezy）报告称，Electrum 历史记录中显示的一笔交易与其最初提交的支付不符。
- 10 月 18 日：另一名用户（Raju-K12）在尝试增加交易手续费后损失了资金，并联系了开发者。
据公告称，这两起事件均涉及由攻击者控制的收款地址，且这些地址的最后四位字符旨在模仿预期的接收者比特币地址。在第二起案件中，欺诈性交易的手续费为零，开发者怀疑这是为了鼓励受害者发起手续费增加操作。
第一起报告涉及一个使用两个 Trezor 设备的 2-of-3 多重签名钱包。其合法交易包含 31 个输入和 1 个输出。调查人员发现，所有 62 个签名对于原始支付都是有效的，但对于替换交易则是无效的。这笔假交易将大部分比特币重定向到一个相似地址，并将少量资金返回到钱包。原始交易虽然有效，但从未到达公共比特币网络。
Electrum 承认有服务器在野外执行此类攻击，但开发者尚未披露参与服务器的数量、被盗金额或是否已识别出其他受害者。
4.8.3 版本如何阻断恶意手续费提升交易
修复措施已纳入 10 月 23 日发布的 4.8.3 版本，可下载的二进制文件于 10 月 24 日发布。通过 commit 90fe308，开发者引入了对用户钱包拥有输入值的未确认交易进行签名验证的功能。
现在，Electrum 在接受交易进入本地历史记录之前会检查这些签名，从而防止公告中描述的欺诈性支出交易被显示为合法交易。此次更新并未使 Electrum 成为全节点。开发者澄清称，传入的未确认交易仍不在新的签名检查范围内，而已确认的支付继续接受现有的验证程序。
运行 4.8.3 之前版本的用戶被敦促从官方 Electrum 网站下载更新。对于无法立即升级的用户，开发者建议在签署交易（包括手续费替换）之前，仔细核对完整的收款地址和金额。据公告称，仅连接到可信服务器（包括自有服务器）的用户不会受到此类恶意服务器攻击的影响。
过往事件揭示服务器依赖风险
此事件紧随以往针对 Electrum 对外部服务器依赖性的利用尝试之后。2018 年 12 月，据报道恶意服务器向用户显示了虚假的软件更新说明，当时的报道估计损失接近 100 万美元。2019 年的另一次恶意服务器活动则利用虚假钱包更新和拒绝服务活动将用户导向受损软件。
这些攻击依赖于欺骗性下载，而新修补的漏洞则在看似合法的钱包内部操纵待处理交易信息。2020 年关于 Electrum 服务器的一篇访谈探讨了轻量级钱包的权衡利弊，包括其对交易历史等外部基础设施的依赖。Electrum 自身的文档表示，其客户端通常连接到约 10 个服务器，但选择一个主服务器来检索钱包历史和广播交易。文档指出，在主服务器对待处理交易的信任方面存在特定风险。
