Electrum修复漏洞：上调手续费可能导致支付被转向错误地址

10月24日公开的高严重性安全公告

Electrum于2026年10月24日公开了一份高严重性安全公告，涉及4.8.3之前的版本。开发者SomberNight描述了恶意服务器针对未确认支付显示内容实施的攻击。团队表示收到两份报告，其中一名用户在10月18日提高手续费后损失了资金。公告没有说明损失金额。

钱包的运行方式解释了风险所在。Electrum通过服务器获取地址历史并广播支付。其文档区分了使用SPV证明进行验证的已确认交易，以及主服务器承担信任角色的待确认交易。文档也明确说明，客户端从不向服务器发送私钥。不过，保护这些秘密并不能保证服务器提供的历史记录始终显示正确的收款方。

资金转向错误地址需要一次新的签名

在公告描述的场景中，服务器扣留客户端发送的真实支付，并展示一笔与之冲突的交易，其签名无效，收款地址却由攻击者控制。如果用户随后手动提高这笔虚假交易的手续费，钱包就会签署一笔新的支付，可能将比特币转到错误地址。因此，这并非服务器利用窃取的私钥自行支出资金：用户作出的新签名起到了决定性作用。

修复措施会在将未确认交易加入本地历史之前，检查属于钱包自身的输入的签名。公告也指出一个限制：这一验证不涵盖钱包以外的输入，包括某些转入交易的输入。因此，修复版本并不会使Electrum变成完整的比特币节点。团队表示，仅使用由自己控制或信任的服务器的客户端不受这一攻击场景影响。

从官方渠道获取更新

4.8.3版本发布说明标注的日期为10月23日，而安全公告时间线将可执行文件的分发日期列为10月24日。这一区别对应软件准备与分发的不同阶段。官方网站提供下载及相应的验证签名，要求用户仅通过electrum.org获取软件，并验证GPG签名。网站还说明，可执行文件可复现构建，并由多名参与构建的人员独立签名。

文档提醒，提高手续费适用于可替换交易，并会产生一笔需要签名、随后广播的新交易。这一正常机制用于加快待确认支付，但也要求用户重新核对即将签署的内容。此次修复针对的是服务器对显示历史的操纵。在进行任何签名之前，核对完整的收款地址和金额仍然重要，不能仅将该操作视为对发送成本的一次技术调整。