electrum

ChainCatcher 消息，比特币钱包 Electrum 在 X 平台宣布发布 4.8.4 版本，称这是又一次安全更新。根据 GitHub 更新日志，该版本发布日期为 11 月 6 日，修复了闪电网络洋葱消息（onion messages）相关漏洞：任意来源的畸形洋葱消息可能导致 Electrum 与其通道对等节点断开连接。 Electrum 目前将丢弃所有传入的洋葱消息，直至实现实际使用场景。此外，新版本还修复了恢复 2 版本以前部分助记词失败等问题。Electrum 上一版本 4.8.3 于 10 月下旬发布，修复了一项已遭在野利用的高危漏洞。

ChainCatcher 消息，据 Bitcoin News 监测，Electrum 于 2026 年 10 月 24 日发布 4.8.3 版本，修复一项已被用于真实攻击的安全漏洞。恶意服务器可向用户展示伪造交易，并在用户尝试通过替代手续费（RBF）加快交易时，诱导其签署向攻击者地址付款的交易；攻击者无需获取用户私钥。Electrum 称已收到两起相关报告，其中一名用户在提高手续费后损失比特币，并建议用户更新至 4.8.3 版本。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。用户对交易做常规加费时，可能把资金签给攻击者。开发者称，起因是用户报告在签署加费后损失资金。两份报告结果不同：一人广播付款后发现钱包历史中的交易被替换，并称原付款未进入比特币点对点网络、被服务器扣留；另一人 Raju-K12 对替换后的交易加费并损失资金。攻击中，恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成攻击者地址。该替换交易当时签名无效，但轻客户端展示未确认交易前未核对这些签名；用户通过 RBF 手动加费并签名后，攻击者收款生效。两人均称攻击者地址与合法收款地址末四位相同。公告未公布被盗金额、交易标识或攻击者地址。补丁对应提交 90fe308，在把内存池交易写入本地历史前，核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证。公告建议未升级用户在每次签名时核对输出地址与金额；连接自有或可信服务器的客户端不受此攻击影响。时间线上，10 月 11 日首次私下披露，10 月 18 日收到加费损失报告，修复版本于 10 月 23 日打标签，二进制与公开披露在 10 月 24 日。

ChainCatcher 消息，比特币钱包 Electrum 官方宣布发布 4.8.3 版本，称本次更新修复一项严重安全问题，并敦促所有用户升级。官方表示，漏洞的详细说明将于晚些时候公布。其 GitHub 更新日志将 4.8.3 标注为安全更新，发布日期为 10 月 23 日。Electrum 官网提醒，用户应仅从官网下载软件，并核验 GPG 数字签名，以确认安装包来源及完整性。

ChainCatcher 消息，Electrum 已发布 4.8.2 版本，新增多项安全修复并加强比特币钱包代码库安全性，相关修复基于 Bitcoin Red Team、Calle、l0rinc、haoxucu 和 m0wer 等研究人员的报告。该版本修复了影响部分采用非确定性密钥和锚定通道的 Lightning 钱包的关键备份问题，此前受影响钱包的通道备份和完整钱包备份可能缺少在请求远程强制关闭后将资金转移至链上所需的密钥；受影响用户启动 Electrum 时将收到警告，并应导出新备份，旧备份在该场景下无法正确恢复资金。该版本还加强 Lightning HTLC 验证、拒绝此前可被接受的格式错误 xpub/xprv 密钥、扩大代码库安全强化范围，并防止 Android 二维码扫描器读取截图。这是 Electrum 自 7 月以来第三次以安全为重点的版本发布，此前版本为 4.8.0 和 4.8.1。

ChainCatcher 消息，比特币钱包 Electrum 发布 4.8.1 版本，官方称本次更新包含“重要安全修复”，并要求用户尽快升级。 参与可重复构建的开发者已在下载页提供二进制包的独立签名，用于验证发布包与源码一致性。