事件概述

比特币软件钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，修复一项高危漏洞。恶意服务器可篡改待确认交易，将用户资金导向攻击者地址，影响 4.8.3 之前的所有版本。

攻击方式

  • 攻击者通过受控服务器拦截用户广播的付款

  • 注入显示为零手续费的虚假冲突交易

  • 用户若对看似卡住的交易提高费用，新签名广播的交易可能将资金发至攻击者地址


至少一名用户报告称，其于 10 月 18 日因此损失资金。

修复范围

此次补丁会在将待确认交易加入本地记录前，验证钱包自有输入的签名。但来自外部发送方、且输入均不属于用户钱包的交易仍未进行签名验证。开发者 SomberNight 表示，关闭这一缺口还需额外工作。