根據開發者發布的安全公告，Electrum 已證實至少一起比特幣盜竊事件源於一個錢包漏洞，該漏洞允許惡意伺服器竄改待處理付款。當使用者嘗試透過比特幣的 Replace-by-Fee 功能調升交易手續費時，攻擊者便利用此漏洞將資金重新導向。團隊已於2026年10月24日發布修復版本4.8.3。

此次揭露源於本月收到的兩起私密回報。Electrum 依賴伺服器進行交易記錄與廣播，這種設計讓錢包保持輕量，但也使顯示的交易歷史僅取決於回應請求的伺服器是否可靠——這種架構為攻擊者提供了在付款抵達比特幣網路前介入的機會。

漏洞運作方式

受攻擊者控制的伺服器可以扣押一筆有效的比特幣付款，並以另一筆待處理交易取而代之。偽造的記錄會將攻擊者的地址列為收款人。舊版 Electrum 在將此類記錄顯示於錢包歷史之前，並未驗證其簽章。簽章驗證是將所顯示付款與錢包自身金鑰綁定的步驟，略過此步驟意味著顯示的歷史完全取決於伺服器提供的內容，而不管錢包實際產生的是什麼。

隨後選擇 Replace-by-Fee（一種以更高手續費重新發送待處理付款的比特幣機制）的使用者，可能導致 Electrum 簽署被替換的付款，使其成為有效交易。與近期 Keystone 硬體錢包的客戶資料外洩事件不同，這次攻擊是誘騙使用者核准被竄改的付款細節。

兩起回報促成修補

第一起回報於10月11日送達，來自一位使用兩台 Trezor 裝置的三分之二多重簽章錢包的使用者。該使用者在兩台裝置上核對了原始付款，但隨後在 Electrum 歷史中發現了另一筆交易。該回報並未提及任何損失。
10月18日，第二位使用者回報在對被替換的付款調升手續費後損失了比特幣。開發者並未披露涉及的金額。兩起回報中描述的攻擊者地址，其結尾四個字元皆與預期收款地址相同——這種巧合可能騙過依賴地址結尾字元的檢查——此外，其中一筆被替換的付款完全沒有手續費，這一細節可能使其看起來像是卡住了。

另一起事件是 Railway 平台的與加密貨幣盜竊相關的資料外洩，涉及的是疑似外洩的憑證，而非偽造的待處理付款。

Electrum 修復後呼籲升級

Electrum 於10月24日發布了4.8.3版本。開發者於發布前一天（週五）標記了修復版本。此次更新現在會對動用錢包所控資金的未確認交易進行簽章檢查。開發者將此問題列為高嚴重性，並表示部分伺服器已在使用者身上使用此手法，也就是說威脅是實際存在的，而非理論上的。

他們呼籲使用者更新錢包，並在簽署任何交易前核對收款地址與金額。由於新增的簽章檢查僅存在於4.8.3及之後的版本，對尚未升級的使用者而言，這兩項預防措施仍是最主要的防護手段。

近期其他錢包供應商也通報了不同的威脅。Foundation 近期追查出含有真實購買細節的 Passport 釣魚郵件源於遭入侵的服務金鑰；那些郵件並未使用 Electrum 所描述的交易替換手法。