• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

Electrum修复比特币钱包漏洞,该漏洞已被恶意服务器利用

2026-10-27 04:00:00
收藏

Electrum 钱包紧急修复关键漏洞,防止恶意服务器窃取资金

Electrum 开发团队已修复一项严重的安全漏洞。该漏洞允许恶意服务器隐藏用户刚刚广播的比特币交易,并显示一笔伪造的交易,从而将资金转移给攻击者。开发团队表示,目前已有部分服务器在野外环境中利用此漏洞进行攻击,且有一名用户在手动提高伪造交易的费率后损失了资金。

该修复程序已包含在 10 月 24 日发布的 Electrum 4.8.3 版本中。开发团队敦促所有用户立即升级至最新版本。

漏洞详情与影响范围

Electrum 是一款比特币(BTC)轻量级钱包。开发团队指出,受影响的版本为 4.8.3 之前的版本。连接至用户信任的服务器(如自建服务器)的用户不受此漏洞影响。

“此次发布修复了一个关键安全问题,因此我们敦促所有用户立即升级。”Electrum 官方在其社交媒体平台 X 上发布了这一警告。

攻击原理分析

Electrum 作为轻量级客户端,通过简化支付验证(SPV)来检查已打包的交易,但对于未确认的交易,它依赖所连接的服务器的数据。开发团队将此描述为既定的设计文档。

根据安全公告,当用户广播新交易时,恶意服务器可以“吞下”该交易,并在钱包历史记录中将其替换为一笔冲突且无效的伪造交易,将资金发送给攻击者。由于钱包未对伪造交易的签名进行检查,导致攻击得以实施。

如果在某一案例中,攻击者的服务器将伪造内存池(mempool)交易的费率设置为零,而用户随后手动提高了该伪造交易的费率,钱包便会以更高的费率签署该交易,从而导致用户实际向攻击者付款。

真实案例:有用户因未及时升级而遭受损失

开发团队写道:“一些服务器正在野外环境中执行此类攻击。”他们收到了两起报告,其中一名用户在提高费率后损失了资金。安全公告未披露具体的损失金额。

两名受害者均表示,攻击者的地址是通过暴力破解生成的,仅与合法地址的最后四个字符相匹配。其中一名用户报告称,原始交易从未在比特币网络上得到传播,这表明服务器截留了该交易。

修复措施与建议

版本 4.8.3 引入了新的安全机制,使钱包在向历史记录添加未确认交易之前,先自行验证其输入部分的签名。对于无法立即升级的用户,开发团队建议在进行任何交易签署前,务必仔细核对输出地址和金额。

该安全委员会将该问题的严重程度评级为“高”。首个私人报告于 10 月 11 日提交,公开披露则于 10 月 24 日进行。

与此同时,上周比特币核心(Bitcoin Core)团队宣布将加速修复 AI 容易发现的软件缺陷。此外,Polkadot 本月也指出其 Fearless 钱包扩展程序存在泄露私钥的风险。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%