Electrum钱包修复安全漏洞，此前黑客利用该漏洞盗取比特币

知名轻量比特币钱包Electrum发布新版本修复高危漏洞。这次的漏洞就是坏人控制服务器篡改待确认交易，地址尾号看着差不多，其实收款方是黑客。尤其调整手续费的时候风险最高，升级到新版是最稳妥的办法。下面小编简单梳理了Electrum钱包曝出高危漏洞、黑客借此盗币后官方紧急推送修复版本的相关事件。

Electrum已发布4.8.3版本，修复一个高危比特币钱包漏洞。恶意服务器可利用该漏洞篡改用户支付去向，开发团队证实至少已出现资金被盗案例。

根据钱包方10月24日发布的安全公告，攻击者利用Electrum处理未确认比特币交易的机制，将用户原本的合法付款替换为欺诈交易。用户在提高手续费的过程中，可能误授权这笔欺诈交易。

Electrum是一款轻量比特币钱包，依靠外部服务器获取交易记录、广播交易以及其他网络数据。它不像全节点那样独立处理区块链的全部信息。

“新版本发布：Electrum4.8.3。该版本修复一个严重安全问题，强烈建议所有用户升级。漏洞详情将于今日晚些时候发布。（提示：Windows Defender可能对ZXing.dll发出告警，这属于误报，可忽略）”

——Electrum（@Electrum Wallet），2026年10月24日

官方文档说明，Electrum通过简单支付验证机制校验已确认交易，但历史上在展示待确认交易时，会信任连接的主服务器。

攻击者正是利用这一特性，通过恶意服务器拦截用户提交、尚未广播到比特币网络的交易。攻击者阻止原交易上链，再向钱包推送一笔替换交易，把收款地址改成攻击者控制的地址。尽管这笔替换交易签名无效，但存在漏洞的旧版Electrum在将交易展示在本地记录前，不会校验签名。

当用户使用RBF（手续费替换机制）给未确认交易加价时，风险就会显现。用户确认调整手续费，就可能在不知情的情况下，签署一笔流向黑客地址的有效交易。

Electrum证实漏洞已被真实利用，比特币被盗

开发人员披露两起私下上报的事故，证明该漏洞并非理论攻击。10月11日，用户dannydeezyzy反馈，Electrum记录里显示的交易，和自己原本提交的交易不一致。10月18日，用户Raju-K12在尝试提高交易手续费后资产被盗，并向开发团队上报。

公告称，两起事件中黑客地址的末尾四位字符，都刻意和用户原本的目标收款地址保持一致。第二起案例中的欺诈交易手续费为0，开发团队推测，攻击者借此诱导受害者主动发起提费操作。

第一起上报案例采用2/3多签钱包，使用两台Trezor硬件钱包，原交易包含31笔输入、1笔输出。核查发现，62个签名对原始交易有效，但对篡改后的交易无效。伪造交易几乎把全部比特币转入仿冒地址，只转回少量金额到用户钱包。原始交易本身是合法的，但始终没有被广播到比特币公网。

Electrum确认已有服务器在野外实施该攻击，但开发方没有披露涉事服务器数量、被盗总金额，以及是否还有其他受害者。

Electrum4.8.3拦截恶意提费交易

修复代码在10月23日并入版本，安装包于10月24日对外发布。通过提交号90fe308，开发人员新增针对花费用户自有输入的未确认交易的签名校验逻辑。Electrum现在会先核验签名，再把这类交易写入本地记录，阻止欺诈付款伪装成正常交易展示给用户。

本次更新不会让Electrum变成比特币全节点。开发团队说明：转入的未确认交易不在新增签名校验范围内，已确认交易仍沿用原有验证流程。

使用4.8.3之前旧版本的用户，建议前往Electrum官网下载升级。暂时无法升级的用户，在签名交易（包括RBF手续费替换）前，务必核对完整收款地址和转账金额。公告提到，仅连接可信服务器（含自建服务器）的用户，不会面临这类恶意服务器攻击。

Electrum过往攻击事件，凸显服务器依赖风险

Electrum历史上多次因依赖外部服务器遭到攻击。2018年12月，曾有恶意服务器向用户推送虚假更新提示，当时报道预估损失接近100万美元。2019年另一轮攻击，同样借助虚假的钱包更新和DDoS攻击诱导用户安装被篡改软件。

此前攻击以诱导下载恶意程序为主；本次被修复的漏洞，则是在正版钱包内部篡改待确认交易信息。2020年一篇关于Electrum服务器的访谈，探讨了轻钱包的取舍——需要依靠外部基础设施获取交易数据。Electrum文档提到，客户端一般会连接大约10台服务器，选定一台主服务器拉取钱包历史、广播交易，该主服务器的未确认交易信息会被钱包信任。