Electrum 4.8.3 修補交易替換漏洞：惡意伺服器可誘使用戶加費轉走資金

主要來源公告：2026-10-24

本站刊登：2026-10-25 · 內容更新：2026-10-25（香港日期）

情報摘要

Electrum 維護者於 10 月 24 日披露 GHSA-6jp4-8v48-cc5v。惡意伺服器可在錢包顯示被替換的未確認交易；用戶若手動提高該交易手續費，可能簽署向攻擊者付款的交易。4.8.3 已修補，維護者表示已收到實際攻擊及損失報告。

公告指出，攻擊須涉及用戶連線的惡意 Electrum 伺服器，以及用戶對替換交易手動執行 RBF 加費。維護者稱連線到可信伺服器（例如自行運行的伺服器）的客戶端不受此攻擊影響。

維護者收到兩宗用戶報告，其中一人報稱加費後損失資金；這是供應方記錄，並非全球受害總數。

版本標籤及發行說明日期為 10 月 23 日，二進位發布及公開漏洞披露則為 10 月 24 日。

Electrum 4.8.3 之前版本；官方列明修補版本為 4.8.3。

香港及其他地區使用 Electrum 的比特幣錢包用戶與保管服務運維人員。

從 electrum.org 取得 4.8.3 或其後修補版本，按官方指引驗證 GPG 簽章。簽署交易或提高交易手續費前，逐一核對完整收款地址和金額；未升級時尤其不要只憑錢包歷史記錄確認付款內容。

GitHub 官方安全公告評為 High，沒有 CVSS 分數；較早的官方 X 發布帖稱 critical security issue。本記錄採用具體漏洞公告的 High 評級。

官方公告列為 No known CVE；本記錄不推定 CVE 編號或 CVSS 分數。

已知攻擊需要惡意伺服器和用戶簽署加費交易，不能解讀為所有 Electrum 錢包已被入侵或私鑰已外洩。

香港受害個案及整體損失規模未獲核實。