比特幣錢包 Electrum 發布緊急安全更新，此前攻擊者利用一項漏洞，讓惡意伺服器得以用偽造交易取代正當交易，誘騙用戶將比特幣轉入攻擊者控制的地址。

這個高嚴重度漏洞於2026年10月24日在一份安全公告中揭露，影響4.8.3之前的所有 Electrum 版本。開發團隊證實該攻擊已在實際環境中被利用：兩名用戶通報遭攻擊，其中至少一人在嘗試提高交易手續費後損失資金。

這項攻擊無需取得私鑰或助記詞。攻擊者操縱錢包內顯示的未確認交易，利用 Electrum 依賴外部伺服器取得交易資訊的特性。

惡意伺服器取代正當交易

Electrum 是一款輕量級比特幣錢包，並不維護完整的區塊鏈節點，而是透過外部伺服器取得交易紀錄並廣播付款。

該漏洞讓惡意伺服器得以攔截剛廣播的比特幣交易，阻止其抵達網路。伺服器隨後可在用戶的錢包紀錄中，以導向攻擊者控制地址的偽造版本取代正當付款。

儘管被取代的交易帶有無效的加密簽章，存在漏洞的 Electrum 版本仍將其顯示為一般的未確認付款。

當用戶透過比特幣的 Replace-by-Fee（RBF）機制嘗試提高手續費時，此攻擊便會生效。Electrum 可能以偽造交易作為取代交易的基礎，促使用戶授權一筆將資金轉給攻擊者的有效付款。

在兩起通報案例中，攻擊者生成的目標地址皆與預定收款人比特幣地址的末四個字元相符，使取代行為更難察覺。其中一筆偽造交易的手續費幾乎為零，可能藉此誘使受害者使用提高手續費的功能。

名用戶通報攻擊，其中一起為確認竊案

第一起事件於10月11日通報至 Electrum 開發團隊，涉及連接兩台 Trezor 硬體裝置的二之二多重簽章錢包。該用戶在廣播交易前，已於兩台裝置上驗證了一筆正當的比特幣轉出交易，但錢包隨後顯示一筆陌生的交易，將資金導向另一個地址。

調查人員確認，原始交易從未抵達比特幣的 mempool。偽造的替代交易重複使用相同的輸入，但更改了目的地，且其簽章對被取代的付款而言無效。該用戶在遭受通報損失前即發現異常。

第二名用戶於10月18日聯繫開發團隊，此前其對一筆同樣遭操縱的交易提高手續費並損失比特幣。被竊金額尚未公布。

Electrum 尚未查明惡意伺服器的身分，也未確定還有多少其他用戶可能遭遇此攻擊。

4.8.3 版本為待確認付款新增簽章驗證

此次安全修補變更了 Electrum 處理涉及用戶錢包所控資金的未確認交易之方式。4.8.3 版本會在將待確認交易納入本地紀錄前，驗證錢包自有交易輸入的簽章，從而阻斷通報攻擊中所使用的特定取代手法。相關程式碼變更可見於專案的 commit。

修正版本於10月23日標記，安裝套件於隔日发布。

此次更新並未對每筆未確認的比特幣交易導入全面驗證。涉及外部地址的收款交易仍不在新的簽章檢查範圍內，而已確認交易則繼續使用 Electrum 現有的驗證機制。

此漏洞不同於近期涉及 Keystone 客戶資料外洩與硬體錢包釣魚攻擊的錢包安全事件，包括最新針對 Foundation Passport 用戶的假召回郵件。

Electrum 呼籲用戶從其官方網站安裝4.8.3版本，並在簽署任何交易（包括提高手續費）前，核對完整的收款地址與付款金額。僅連接受信任伺服器的用戶，包括自行架設基礎架構者，並未暴露於此特定攻擊。

總財務損失仍不清楚，Electrum 亦未公布10月18日事件之外任何經確認的竊案。