币圈界报道：

Electrum 钱包发布紧急更新，封堵关键资金盗取漏洞

Electrum 开发团队于 10 月 24 日推出 4.8.3 版本，正式修复一项可导致用户资产被恶意服务器窃取的高危漏洞。该漏洞允许攻击者在用户广播交易后，将其替换为一笔伪造的冲突交易，从而将资金转移至攻击者控制的地址。

漏洞影响范围明确：旧版客户端风险显著

此次安全问题仅影响 4.8.3 之前的 Electrum 版本。使用自建或受信任服务器的用户不受此漏洞波及。开发团队强调，所有未升级的用户均面临潜在资金损失风险。

攻击机制剖析：伪造交易绕过签名验证

作为轻量级钱包，Electrum 依赖连接的服务器提供未确认交易信息。恶意服务器可截获用户新广播的交易，并在本地内存池中以无效但冲突的伪造交易替代。由于钱包未对伪造交易的数字签名进行独立校验，系统默认接受并记录该虚假记录，致使资金被非法转移。

真实案例暴露风险：用户手动提费反致损失

已有两名用户报告遭遇攻击，其中一人在察觉异常后手动提高伪造交易的矿工费，却因钱包自动签署高费率交易而实际支付了攻击者。调查发现，攻击地址由暴力生成，仅与合法地址末四位字符匹配，且原始交易从未在主网上传播，证实服务器存在拦截行为。

防护措施升级：强化签名验证与用户自查

新版 4.8.3 引入前置签名验证机制，在将未确认交易写入历史前，强制检查其输入部分的有效性。对于无法及时更新的用户，团队建议在签署任何交易前，必须反复核对输出地址与金额。该漏洞评级为“高”，首次私密报告于 10 月 11 日提交，公开披露时间为 10 月 24 日。