根据开发团队发布的安全公告，Electrum 已确认，至少一起 Bitcoin 被盗事件源于一个钱包漏洞，该漏洞允许恶意服务器篡改待处理付款。攻击者利用该漏洞，在用户试图通过 Bitcoin 的 Replace-by-Fee 功能上调交易手续费时转移资金。团队于 2026 年 10 月 24 日发布了修复版本 4.8.3。

此次披露源于本月收到的两份私下报告。Electrum 依靠服务器获取交易记录并进行广播，这种设计使钱包保持轻量，但也意味着显示的历史记录的可靠性完全取决于响应每次请求的服务器——这种架构为攻击者在付款到达 Bitcoin 网络之前进行干预留下了可乘之机。

漏洞的运作方式

受攻击者控制的服务器可以扣留一笔有效的 Bitcoin 付款，并以另一笔待处理交易取而代之。伪造的记录将攻击者的地址列为收款方。旧版本的 Electrum 在将此类记录显示到钱包历史记录之前，不会验证其签名。签名验证是将所显示的付款与钱包自身密钥绑定的步骤，跳过这一步意味着显示的历史记录完全取决于服务器提供的内容，而无论钱包实际生成了什么。

随后选择 Replace-by-Fee（一种以更高手续费重发待处理付款的 Bitcoin 机制）的用户，可能导致 Electrum 签署被替换的付款，使其生效。与近期 Keystone 硬件钱包的客户数据泄露不同，此次攻击诱骗用户批准了被篡改的付款信息。

两份报告促成补丁

第一份报告于 10 月 11 日收到，来自一名使用配备两台 Trezor 设备的 2-of-3 多重签名钱包的用户。该用户在两台设备上核实了原始付款，但后来在 Electrum 历史记录中发现了另一笔交易。该报告未提及任何损失。

10 月 18 日，第二名用户报告在为一笔被替换的付款上调手续费后丢失了比特币。开发团队未披露涉及的金额。两份报告均描述攻击者地址与预期目标地址的结尾四个字符相同——这种重合可能绕过依赖地址结尾字符的检查——并且其中一笔被替换的付款完全没有手续费，这一细节可能使其看起来像是卡住了。

另一起事件，即 Railway 平台与加密货币盗窃相关的入侵事件，涉及疑似泄露的凭证，而非伪造的待处理付款。

修复后 Electrum 敦促升级

Electrum 于 10 月 24 日发布了 4.8.3 版本。开发团队在发布前一天即周五对修复后的构建版本进行了标记。此次更新现在会对花费钱包控制资金的未确认交易检查签名。开发团队将该问题定为高严重性，并表示部分服务器已经在针对用户使用该技术，这意味着威胁是存在的，而非假设性的。

他们敦促用户更新钱包，并在签署任何交易之前核实收款地址和金额。由于新增的签名检查仅存在于 4.8.3 及更高版本中，对于尚未升级的用户而言，这两项预防措施仍然是最主要的保障。

近期其他钱包供应商也报告了不同的威胁。Foundation 最近将包含真实购买信息的 Passport 钓鱼邮件追溯到被泄露的服务密钥；这些邮件并未使用 Electrum 所描述的交易替换方法。