繁體中文
比特币轻钱包Electrum遭恶意节点攻击，官方紧急发布4.8.3版本修复漏洞
作为老牌的比特币轻量级钱包，Electrum无需下载完整的区块链账本，而是通过接入外部服务器来查询和广播数据。钱包通常会默认连接约10台服务器，其中一台作为主节点。对于已上链的数据，系统会调用简化支付验证（SPV）进行核实；但对于未确认的交易，钱包会直接信任主节点的反馈信息。
根据安全公告，部分恶意节点正是利用了这一信任机制。当用户发起转账后，恶意节点会拦截该指令，拒绝向比特币主网广播。随后，攻击者会在用户的本地交易记录中植入一笔相互冲突的伪造订单，并将收款方篡改为自己的地址。为了混淆视听，黑客甚至刻意推算，让伪造地址的末尾四个字符与真实地址保持一致。这笔伪造订单原本缺乏有效签名，但旧版Electrum不对未确认交易的签名进行校验，导致用户界面仅显示这笔被篡改的虚假记录。
RBF加速机制沦为恶意提款通道
攻击者的核心陷阱在于诱导用户主动触发“替换手续费”（RBF）功能。在伪造记录中，黑客将网络手续费参数刻意设定为零手续费。当用户误以为转账因网络拥堵而卡住，并尝试使用RBF功能追加网络费用以加速确认时，Electrum会基于这笔伪造订单，重新生成并签发一笔具备有效签名的全新交易。至此，用户的资金便在不知不觉中被合规地转移到了黑客的账户中。
安全事件时间轴与受损情况追踪
回顾此次安全危机的发酵过程，官方披露了清晰的时间线。10月11日，首位用户通过私下渠道反馈了异常现象。该用户采用两台Trezor硬件设备构建的2-of-3多签钱包，在硬件端均确认了正确的付款明细，因此未造成实际损失。当时开发团队并未察觉黑客意在利用追加手续费的路径实施盗窃。
情况在10月18日急转直下，GitHub用户Raju-K12报告称，其在对被调包的异常订单进行加价加速后，遭受了真实的资金损失。开发团队随即紧急响应，于10月23日完成了底层代码的修补，并最终在10月24日正式向全网推送安装包并公开了漏洞细节。截至目前，官方尚未公布参与此次攻击的恶意节点名单及具体的涉案金额。
紧急修复补丁上线
在最新推送的4.8.3版本中，开发团队增加了前置风控逻辑：系统在将未确认交易写入本地记录前，会强制校验消耗自身地址资金的输入签名。然而，官方坦承此次修复方案存在一定的局限性。对于外部转入的未确认资金，钱包依旧无法进行有效验证。这是因为Electrum缺乏完整的共识验证引擎，若要溯源验证必须逐级上推直至已确认的链上区块。
基于当前的安全态势，开发团队建议所有用户尽快升级。若因客观原因暂缓升级，用户在进行任何签名操作时，必须反复核对收款地址及转账金额。此外，有能力独立架设或仅连接至可信专属节点的用户，天然免疫此类攻击威胁。
到此这篇关于比特币轻钱包Electrum遭恶意节点攻击，官方紧急发布4.8.3版本修复漏洞的文章就介绍到这了,更多相关轻钱包Electrum遭攻击内容请搜索脚本之家以前的文章或继续浏览下面的相关文章，希望大家以后多多支持脚本之家！
你可能感兴趣的文章
-
Solana代币化股票持有人数达到150万，两个月规模暴涨五倍
截至 10 月 26 日，Solana 代币化股票持币地址创下 150 万新高，自 8 月以来增长五倍；3100 万美元交易激励带来大量新地址，统计仅为钱包数量，存在多钱包重复统计,链上可…
2026-10-27 -
硬件钱包厂Keystone资安承诺翻车:客户订单数据外泄,助记词未受影响
硬件钱包厂Keystone 周六宣布Shopify 官方网站遭攻击，客户姓名、联络方式、收件地址与订单明细外泄,问题是，Keystone 过去半年反复以「180 天后永久删除出货资料」作为隐…
2026-10-26 -
硬件钱包Keystone官网遭未授权访问,部分用户收货信息泄露
10 月 25 日，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露,该公司表示，在发现漏洞后已立即采取行动，成功阻止了未经授…
2026-10-25 -
加密货币将进入掩体模式,一文拆解AI真能破解加密钱包吗?
AI 在数学领域的突破引发加密圈对椭圆曲线密码学被破解的恐慌，但未暴露公钥的地址依然安全，后量子密码升级与应急预案已在路上，理性防御胜于盲目焦虑，下面我们就来简单…
2026-10-25 -
币安创始人赵长鹏：加密钱包无绝对安全，多起安全事件集中爆发
币安创始人赵长鹏发文称不存在百分百安全的加密钱包,近期 PHP 高危漏洞、Railway 云平台被入侵、Fearless Wallet 私钥泄露等多起安全事件集中出现，攻击正向供应链上游转移…
2026-10-23 -
狗狗币生态成立Dogecoin Labs，整合钱包、应用与支付业务
狗狗币生态在基金会支持下成立独立组织 Dogecoin Labs，整合 MyDoge 钱包、DogeOS 应用平台与 Such App 支付工具,机构将聚焦支付、商业、DeFi 等场景拓展 DOGE 实际用途，…
2026-10-22 -
26亿美元链上遗留资产全景拆解:600万个钱包背后,加密用户的钱卡在哪一
HiddenFunds数据显示，截至 10 月 1 日，散落在 600 多万个钱包中的链上遗留资产总额已高达26.1亿美元,从跨链通道到旧版质押合约，从代币迁移池到待关停的L2，被遗忘的资产…
2026-10-22 -
Visa合作Mesh布局加密支付，支持钱包比特币、稳定币直接消费
Visa联合Mesh推出新型支付方案，允许用户调用数字钱包余额在全球逾1.75亿个网点直接消费,该模式免除预先充值与实体卡申领，通过后台即时结汇使商户无缝接收法币，标志着传…
2026-10-21 -
三星钱包将接入USDC，厂商入局前的核心考量
三星电子美国公司宣布，计划在2026年10月最后一周向符合条件的美国成年Galaxy用户开放USDC功能,用户可通过Samsung Wallet持有、转出USDC，并向60多个国家符合条件的银行账…
2026-10-21 -
Ledger钱包在经销商环节被植入窃密芯片，比特币基础设施安全受考验
474 个冷钱包地址 $9100 万惨遭收割，恶意硬件植入绕过 Secure Element 官方真伪检测；Galaxy 深度复盘：底层数学固若金汤，但供应链与人为包装却溃不成军,下文将为大家详…
2026-10-20
