Electrum 爆高危漏洞:恶意服务器可伪造交易骗走用户手续费
AIFlow_ML · x · 2026-10-25
比特币钱包 Electrum 披露高危漏洞(GHSA-6jp4-8v48-cc5v),影响 4.8.3 以下版本,已在 4.8.3 修复。
- 攻击方式:轻客户端默认信任所连服务器提供的内存池交易。当客户端广播新交易 tx1 时,恶意服务器可将其吞掉,并在客户端历史中插入一笔输出地址指向攻击者的冲突交易 tx2。由于轻客户端设计不校验签名,tx2 虽签名无效仍会作为未确认交易展示,tx1 则被隐藏。
- 危害:若用户随后对 tx2 手动 RBF 提高手续费,等于给攻击者付款。公告称「一些服务器正在实施此攻击」。
- 修复:4.8.3 起客户端在将内存池交易加入本地历史前,会校验属于自己钱包的输入签名。
- 建议:立即升级;无法升级时,签名任何交易(含 RBF 提费)前务必核对输出地址与金额;自建可信服务器的用户不受影响。
「安全」频道最新
- Kimi K3.1 开放权重网络能力定速,引发开源安全阈值讨论 — eliebakouch · 2026-10-25
- MCP 服务器要锁两个哈希：模型读的描述与实际运行的代码 — mrpkk · 2026-10-25
- 蜜罐捕获野外 PHP2Shell RCE,分析由 AI Agent 完成 — moyix · 2026-10-25
- 开源智能体安全运营平台 Argus 发布，采用 MIT 许可免费可用 — humxn · 2026-10-25
- OpenAI 宣布前沿模型训练全面断网，防 AI 代理失控 — emmanuelvivier · 2026-10-25
- 用 AI 编程智能体改自己的设备算不算黑客？X 上吵起来了 — MickeySteamboat · 2026-10-25