Electrum 在攻击者通过伪造交易盗取资金后修补比特币钱包漏洞

区块链文库报道：

Electrum 发布紧急安全更新：修复被恶意服务器利用的交易替换漏洞

比特币钱包 Electrum 近日发布了一项紧急安全更新，以应对攻击者利用系统漏洞进行的欺诈行为。该漏洞允许恶意服务器将合法的交易替换为虚假支付，从而诱导用户将比特币转移到攻击者控制的地址中。

漏洞详情与攻击机制

这一高危漏洞于 2026 年 10 月 24 日披露，影响所有 4.8.3 版本之前的 Electrum 客户端。开发人员确认，该漏洞已在现实中被实际利用，已有两名用户报告了相关事件，其中至少一人因尝试提高交易手续费而遭受资金损失。

值得注意的是，此次攻击无需获取用户的私钥或助记词。攻击者通过操纵钱包内显示的未确认交易，利用了 Electrum 依赖外部服务器获取交易信息的特性。Electrum 作为一款轻量级比特币钱包，通过外部服务器检索交易历史和广播支付，而非维护完整的区块链节点。正是这种架构使得恶意服务器能够拦截新广播的比特币交易，阻止其进入网络，并在用户的历史记录中用指向攻击者地址的虚假交易替换原始合法交易。

虽然替换后的交易包含无效的加密签名，但在易受攻击的 Electrum 版本中，它仍显示为普通的未确认支付。当用户尝试通过比特币的“替代费”（Replace-by-Fee, RBF）机制提高交易手续费时，攻击便得逞了。Electrum 会将虚假交易作为替换的基础，促使用户授权一笔有效的支付，从而将资金转移给攻击者。

在已报告的两起案件中，攻击者生成的收款地址末尾四位字符与预期收件人的比特币地址相同，增加了替换行为的隐蔽性。此外，其中一起虚假交易几乎不收取手续费，这可能诱使受害者使用提高手续费的功能，从而落入陷阱。

两起攻击案例回顾

第一起事件：发生于 10 月 11 日，涉及连接两个 Trezor 硬件设备的二之三多重签名钱包。用户在广播交易前已在两个设备上验证了一笔合法的 outgoing 比特币交易。然而，随后钱包显示了一笔指向不同地址的不明交易。调查人员证实，原始交易从未到达比特币内存池（mempool）。虚假替换交易复用了相同的输入但更改了目的地，且签名对于替换后的支付无效。好在该用户在遭受损失前发现了差异。

第二起事件：10 月 18 日，另一用户联系开发者，称在提高了类似被操纵交易的手续费后丢失了比特币。被盗金额尚未公布。截至目前，Electrum 尚未识别出恶意服务器的身份，也无法确定有多少其他用户可能遭遇了此类攻击。

版本 4.8.3 的安全补丁

本次安全补丁改变了 Electrum 处理涉及用户钱包资金的未确认交易的方式。版本 4.8.3 在接受待处理交易进入本地历史记录之前，会验证钱包拥有的交易输入的签名，从而防止报告中提到的特定替换技术。修正版本已于 10 月 23 日标记，安装包于次日发布。

需要指出的是，该补丁并未对所有未确认的比特币交易进行全面验证。涉及外部地址的 incoming 支付仍处于新的签名检查范围之外，而已确认的交易继续沿用 Electrum 现有的验证机制。

此漏洞不同于近期涉及 Keystone 客户数据泄露和硬件钱包钓鱼（包括针对 Foundation Passport 持有者的最新伪造召回邮件）的其他钱包安全事件。

用户建议与安全提示

Electrum 敦促用户从其官方网站安装版本 4.8.3，并在签署交易（包括提高手续费）之前，仔细核对完整的收款地址和支付金额。

仅连接到可信服务器（包括运行自有基础设施的用户）的用户未受到此次特定攻击的影响。目前的总财务损失尚不明确，除 10 月 18 日的事件外，Electrum 未披露其他经确认的资金盗窃案件。