Electrum 钱包关键漏洞修复：恶意服务器可窃取资金，用户须立即升级

比特币轻量级钱包 Electrum 已发布紧急安全更新，修复一项可能导致资金被盗的关键漏洞。该漏洞允许攻击者通过恶意服务器隐藏真实交易，并在用户钱包中显示一笔伪造的无效交易，从而将资金非法转移。

漏洞影响范围与攻击方式

此次修复涵盖 Electrum 4.8.3 之前的所有版本。受影响的用户若连接至非可信服务器，尤其是公共节点，存在被攻击风险。值得注意的是，使用自建或信任服务器的用户不受此漏洞影响。

作为基于简化支付验证（SPV）机制的钱包，Electrum 依赖所连接服务器提供的交易数据来展示未确认交易状态。恶意服务器可在用户广播新交易后，将其截获并替换为冲突的伪造交易，而钱包因未对签名进行独立校验，无法识别异常。

真实案例：用户因手动提费导致资金损失

开发团队确认，已有部分服务器在实际环境中实施此类攻击。其中一名用户在发现伪造交易后，尝试提高其费率以加速确认，结果钱包自动以更高费用签署该交易，最终资金被转入攻击者地址。

两名受害者报告称，攻击方使用的地址为暴力生成，仅与合法地址末四位字符相同。有用户表示，原始交易从未出现在比特币网络中，表明交易被服务器拦截，未向全网广播。

修复措施与用户建议

Electrum 4.8.3 版本引入了新的本地签名验证机制，确保在将未确认交易写入历史记录前，先自行检查输入部分的有效性。此举显著提升了钱包对恶意服务器的防御能力。

对于暂时无法升级的用户，团队建议在签署任何交易前，务必仔细核对输出地址与金额，避免误操作。

该问题于10月11日首次被私人报告，10月24日公开披露，安全评级为“高”。与此同时，比特币核心团队也宣布将加快修复易受人工智能识别的代码缺陷，而 Polkadot 的 Fearless 钱包扩展程序亦被曝出私钥泄露风险。