Electrum 是歷史最悠久、使用最廣泛的比特幣錢包之一，現已釋出 4.8.3 版本，修補一項讓惡意伺服器得以從使用者手中竊取比特幣的安全漏洞。對於仍在使用 Electrum 但尚未更新的使用者而言，這是一項緊急待辦事項。

惡意 Electrum 伺服器與比特幣竊案有關

Electrum 是一款軟體錢包：使用者將其安裝在電腦上以儲存和發送比特幣，客戶端會連線至伺服器網路以查詢餘額並廣播交易。風險正是出現在這個伺服器連線環節。

惡意行為者在 Electrum 網路中運作欺詐伺服器，這些流氓伺服器得以利用舊版錢包軟體中的安全漏洞。根據 Electrum 專案在 GitHub 上的版本發布紀錄，4.8.3 版本是專為修補此漏洞而發布。

此攻擊向量——流氓伺服器向已連線的錢包發送有害資料——屬於已知的威脅類別。美國網路安全與基礎設施安全局在其惡意軟體與網路釣魚公告中追蹤這一類軟體漏洞利用行為。未經適當驗證就信任外部伺服器的錢包軟體，可能被操縱執行非預期動作，包括轉移資金。

被竊比特幣的確切金額與受影響使用者人數，均未在經過驗證的公開揭露中獲得證實，本文也不對這些數字進行揣測。可以定的是：確實存在漏洞、確實有比特幣被竊，且修復版本已經釋出。

對自助託管錢包——即使用者自行保管金鑰而非依賴託管服務的錢包——的威脅，是比特幣生態系中反覆出現的隱憂，軟體漏洞是否可能削弱比特幣安全模型的問題也值得瞭解。不過，此次事件涉及的是針對性的軟體缺陷，而非密碼學層面的問題。

4.8.3 版本有哪些變更

4.8.3 版本是 Electrum 對通報的安全漏洞的直接回應。此次更新封堵了惡意伺服器所利用的漏洞，而仍在使用舊版的使用者在更新前，將持續暴露於相同的攻擊向量。

electrum.org 上的官方 Electrum 下載頁面是取得更新的唯一安全管道。在此類情況中，假冒錢包網站是常見的次要攻擊手法：透過搜尋引擎搜尋「Electrum download」可能會出現旨在竊取助記詞——即用於恢復錢包的單字序列——或植入惡意軟體的欺詐頁面。應僅使用官方網域，且不應從任何第三方網站、論壇連結或檔案分享服務下載 Electrum。

Electrum 專案的官方 GitHub 發布頁面也列有經簽署的版本，進階使用者可對照開發者的 PGP 金鑰驗證以確認真實性。

Electrum 使用者現在應該怎麼做

首先，檢查目前執行的 Electrum 版本。開啟錢包並在 Help（說明）選單下查看版本資訊。若安裝的版本低於 4.8.3，請立即更新。

其次，更新後，檢查近期的交易紀錄，看是否有任何未經授權的轉出。若出現無法解釋的轉出交易，錢包可能在更新前即已遭入侵。在此情況下，請將剩餘資金移轉至在更新後軟體中全新產生的新錢包地址，或考慮使用硬體錢包——一種將簽署金鑰離線保存的實體裝置——進行長期儲存。

第三，若在連線至不受信任的伺服器時產生了新的助記詞或錢包檔案，請將該助記詞視為可能已遭洩露。惡意伺服器無法直接提取助記詞，但視漏洞性質而定，它可能曾有能力轉移交易。在更多技術細節獲得公開證實之前，謹慎的使用者應將受影響的錢包視為可疑並移轉資金。

諸如此類的錢包安全事件提醒我們即便建構在其上的軟體存在缺陷，比特幣底層網路仍保持完好。比特幣協議本身並未遭到入侵；漏洞位於應用層，具體而言是 Electrum 客戶端處理伺服器回應的方式。

核心重點：僅從官方網站更新至 Electrum 4.8.3、檢查交易紀錄，若發現任何異常，請將資金移轉至全新錢包。

免責聲明：本文僅供參考，不構成財務或投資建議。加密貨幣與數位資產市場具有重大風險。做出決策前，請務必自行研究。