electrum

ChainCatcher 消息，比特幣錢包 Electrum 在 X 平台宣布發布 4.8.4 版本，稱這是又一次安全更新。根據 GitHub 更新日誌，該版本發布日期為 11 月 6 日，修復了閃電網絡洋蔥消息（onion messages）相關漏洞：任意來源的畸形洋蔥消息可能導致 Electrum 與其通道對等節點斷開連接。Electrum 目前將丟棄所有傳入的洋蔥消息，直至實現實際使用場景。此外，新版本還修復了恢復 2 版本以前部分助記詞失敗等問題。Electrum 上一版本 4.8.3 於 10 月下旬發布，修復了一項已遭在野利用的高危漏洞。

ChainCatcher 消息，据 Bitcoin News 監測，Electrum 於 2026 年 10 月 24 日發布 4.8.3 版本，修復一項已被用於真實攻擊的安全漏洞。惡意伺服器可向用戶展示偽造交易，並在用戶嘗試通過替代手續費（RBF）加快交易時，誘導其簽署向攻擊者地址付款的交易；攻擊者無需獲取用戶私鑰。Electrum 稱已收到兩起相關報告，其中一名用戶在提高手續費後損失比特幣，並建議用戶更新至 4.8.3 版本。

ChainCatcher 消息，比特幣輕錢包 Electrum 於 10 月 24 日披露一種針對交易加費的惡意伺服器攻擊，並在 4.8.3 版本中修復，對應 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。用戶對交易做常規加費時，可能把資金簽給攻擊者。開發者稱，起因是用戶報告在簽署加費後損失資金。兩份報告結果不同：一人廣播付款後發現錢包歷史中的交易被替換，並稱原付款未進入比特幣點對點網絡、被伺服器扣留；另一人 Raju-K12 對替換後的交易加費並損失資金。攻擊中，惡意伺服器扣留客戶端廣播的新交易，並在歷史中放入一筆衝突交易，把原輸出換成攻擊者地址。該替換交易當時簽名無效，但輕客戶端展示未確認交易前未核對這些簽名；用戶通過 RBF 手動加費並簽名後，攻擊者收款生效。兩人均稱攻擊者地址與合法收款地址末四位相同。公告未公布被盜金額、交易標識或攻擊者地址。補丁對應提交 90fe308，在把內存池交易寫入本地歷史前，核對該錢包自有輸入的簽名，但不覆蓋錢包外地址的輸入，也不做完整共識驗證。公告建議未升級用戶在每次簽名時核對輸出地址與金額；連接自有或可信伺服器的客戶端不受此攻擊影響。時間線上，10 月 11 日首次私下披露，10 月 18 日收到加費損失報告，修復版本於 10 月 23 日打標籤，二進制與公開披露在 10 月 24 日。

ChainCatcher 消息，比特幣錢包 Electrum 官方宣布發布 4.8.3 版本，稱本次更新修復一項嚴重安全問題，並敦促所有用戶升級。官方表示，漏洞的詳細說明將於晚些時候公布。其 GitHub 更新日誌將 4.8.3 標註為安全更新，發佈日期為 10 月 23 日。Electrum 官網提醒，用戶應僅從官方網站下載軟體，並核驗 GPG 數位簽名，以確認安裝包來源及完整性。

ChainCatcher 消息，Electrum 已發布 4.8.2 版本，新增多項安全修復並加強比特幣錢包代碼庫安全性，相關修復基於 Bitcoin Red Team、Calle、l0rinc、haoxucu 和 m0wer 等研究人員的報告。該版本修復了影響部分採用非確定性密鑰和錨定通道的 Lightning 錢包的關鍵備份問題，此前受影響錢包的通道備份和完整錢包備份可能缺少在請求遠程強制關閉後將資金轉移至鏈上所需的密鑰；受影響用戶啟動 Electrum 時將收到警告，並應導出新備份，舊備份在該場景下無法正確恢復資金。該版本還加強 Lightning HTLC 驗證、拒絕此前可被接受的格式錯誤 xpub/xprv 密鑰、擴大代碼庫安全強化範圍，並防止 Android 二維碼掃描器讀取截圖。這是 Electrum 自 7 月以來第三次以安全為重點的版本發布，此前版本為 4.8.0 和 4.8.1。

ChainCatcher 消息，比特幣錢包 Electrum 發布 4.8.1 版本，官方稱本次更新包含「重要安全修復」，並要求用戶儘快升級。參與可重複構建的開發者已在下載頁提供二進位包的獨立簽名，用於驗證發布包與源碼一致性。