Electrum 紧急更新修复交易替换漏洞，用户需立即升级至4.8.3版本

比特币轻钱包 Electrum 近日发布紧急安全更新，针对一个高危漏洞实施修复。该漏洞允许恶意服务器在用户未察觉的情况下，将合法的比特币交易替换为指向攻击者控制地址的虚假支付，进而诱使用户授权转账。

漏洞机制与现实影响

该漏洞于2026年10月24日公开披露，影响所有低于4.8.3版本的Electrum客户端。据开发团队确认，此漏洞已在实际场景中被利用，目前已记录两起明确的攻击事件，其中一人在尝试提高交易手续费时遭遇资金损失。

攻击无需获取用户的私钥或助记词。由于Electrum依赖外部节点获取交易信息，而非运行完整区块链节点，攻击者可通过操控服务器返回的数据，拦截新广播的交易，并在用户本地历史记录中插入伪造的未确认支付记录。这些伪造交易虽包含无效签名，但在旧版客户端中仍显示为正常状态。

当用户使用“替代费”（Replace-by-Fee, RBF）功能试图加快交易处理速度时，系统会基于错误的交易记录发起新的支付请求，从而完成资金转移。这一过程在视觉上看似正常操作，实则已被恶意引导。

典型攻击案例解析

首例事件发生于10月11日，涉及连接两个Trezor硬件设备的二之三多重签名钱包。用户在双设备验证后，发现原本的合法出账交易被替换为指向陌生地址的异常记录。调查表明，原始交易从未进入比特币内存池（mempool），而伪造交易复用了相同输入但更改了输出地址，且签名无效。幸运的是，用户及时识别差异并阻止了进一步操作。

第二例发生在10月18日，另一用户在提升手续费后发现比特币被转移，具体金额尚未披露。目前，开发者无法定位恶意服务器来源，也无法评估潜在受影响用户的规模。

修复方案与当前防御范围

版本4.8.3引入了关键变更：在将未确认交易写入本地历史前，新增对钱包所持交易输入的签名验证。此举有效防止了此类替换攻击。补丁于10月23日标记，安装包次日上线。

值得注意的是，此次更新并未覆盖所有类型的交易。对外部地址的入账交易仍沿用原有验证逻辑，已确认的交易也维持原流程不变。因此，仅连接可信服务器（如自建节点）的用户不受本次漏洞影响。

该问题不同于近期曝光的Keystone数据泄露、硬件钱包钓鱼邮件等其他安全事件，属于独立的协议层风险。

用户安全建议

Electrum官方强烈建议所有用户通过官网下载并安装4.8.3及以上版本。在签署任何交易（尤其是涉及手续费调整的操作）前，务必仔细核对收款地址和金额，避免因界面误导造成损失。

截至目前，除上述两起案件外，未有其他经证实的资金盗窃报告。总财务损失仍在评估中，但整体影响尚属可控。