比特币钱包 Electrum 发布紧急安全更新，此前攻击者利用一个漏洞，使恶意服务器能够将合法交易替换为伪造交易，诱骗用户将比特币发送至攻击者控制的地址。

该高危漏洞于2026年10月24日在一份安全公告中披露，影响4.8.3之前的所有 Electrum 版本。开发者确认该攻击已在实际环境中被利用：两名用户报告了相关事件，其中至少一人在试图提高交易手续费后损失了资金。

该攻击无需获取私钥或恢复短语。攻击者转而操纵钱包内显示的未确认交易，利用了 Electrum 依赖外部服务器获取交易信息这一特点。

恶意服务器替换合法交易

Electrum 是一款轻量级比特币钱包：它不维护完整的区块链节点，而是通过外部服务器获取交易历史并广播支付。

该漏洞使恶意服务器能够拦截一笔新广播的比特币交易并阻止其到达网络。随后，服务器可以用一个伪造版本替换用户钱包历史中的合法交易，将资金导向攻击者控制的地址。

尽管被替换的交易带有无效的加密签名，存在漏洞的 Electrum 版本仍将其显示为普通的未确认支付。

当用户尝试通过比特币的 Replace-by-Fee（RBF）机制提高手续费时，该攻击便得以生效。Electrum 可能以伪造交易作为替换的基础，诱导用户授权一笔将资金转给攻击者的有效支付。

在这两起报告的案例中，攻击者生成的目标地址与预期收款人比特币地址的最后四个字符一致，使替换更难被发现。其中一笔伪造交易的手续费几乎为零，可能诱使受害者使用提高手续费的功能。

两名用户报告遭遇攻击，其中包括一起已确认的盗窃

第一起事件于10月11日上报至 Electrum 开发者，涉及一个连接两台 Trezor 硬件设备的“三取二”多签钱包。该用户在广播交易前已在两台设备上验证了一笔合法的比特币转出交易，但钱包随后显示了一笔将资金发送至另一地址的陌生交易。

调查人员确认，原始交易从未进入比特币的内存池。伪造的替换交易复用了相同的输入，但更改了目标地址，且其签名对被替换的支付无效。该用户在遭受任何报告的损失之前发现了异常。

第二名用户于10月18日联系开发者，此前他在一笔同样被篡改的交易上提高了手续费并损失了比特币。被盗金额尚未披露。

Electrum 尚未查明恶意服务器的身份，也未确定可能还有多少其他用户遭遇过此攻击。

4.8.3 版本为待处理支付增加签名验证

此次安全补丁改变了 Electrum 处理涉及钱包所控资金的未确认交易的方式。4.8.3 版本在接受待处理交易进入本地历史之前，会验证钱包自有交易输入的签名，从而阻止报告攻击中使用的特定替换技术。相应的代码变更可在项目的提交记录中查看。

修正版本于10月23日打上标签，安装包于次日发布。

此次更新并未对所有未确认的比特币交易引入全面验证。涉及外部地址的入账支付仍不在新的签名检查范围之内，已确认交易则继续依赖 Electrum 既有的验证机制。

该漏洞与近期涉及 Keystone 客户数据泄露和硬件钱包钓鱼活动的钱包安全事件不同，包括最新针对 Foundation Passport 用户的虚假召回邮件。

Electrum 敦促用户从其官方网站安装4.8.3版本，并在签署任何交易（包括提高手续费）之前核实完整的收款地址和支付金额。仅连接可信服务器（包括自行运营基础设施的用户）的用户未暴露于此攻击。

总损失金额仍不明朗，除10月18日的事件外，Electrum 尚未披露任何其他已确认的盗窃案件。