#加密货币 比特币轻钱包 Electrum 存在高危安全漏洞，攻击者利用缺陷可以将用户转账地址替换为自己的钱包地址。目前 Electrum 已经发布 4.8.3 版加强签名验证并移除可能伪造的交易历史记录，而用户每次转账时也应该核对完整地址，不能只看前四位和后四位。查看全文：https://ourl.co/127601
开源比特币钱包 Electrum 日前发布安全公告提醒用户尽快升级到 4.8.3 版，所有旧版本均存在高危安全漏洞，恶意服务器可以隐藏用户刚广播的比特币交易。案例显示有两名用户通过 Electrum 转账并提高手续费时导致比特币被转入到黑客控制的钱包。
Electrum 采用轻客户端模式，主服务器负责同步交易历史记录、广播交易并报告尚未上链的交易；已经确认的交易由钱包通过 SPV 机制进行验证。RBF 是比特币网络常见的手续费调整模式，用户可以为尚未确认的交易提高费用以加速确认。
在实际攻击中，用户先广播真实交易、恶意服务器截留交易阻止交易传播到比特币网络，随后黑客向钱包历史发送冲突交易，把收款输出改成黑客控制的钱包地址。
旧版 Electrum 钱包没有在显示这笔未确认交易前验证其输入签名，因此会显示伪造交易并隐藏原始交易。伪造地址还可能可以匹配用户原定地址的后四位来降低用户发现地址被替换的概率。
如果用户主动点击增加费用，钱包会使用自己的密钥为新交易签名，原本无效的伪造交易会成为用户授权的付款，最终用户的钱包资产会在不知觉中发送给黑客。
Electrum 已经在 10 月 23 日标记 4.8.3 版、在 10 月 24 日发布二进制文件并公开安全公告。修复后钱包会把未确认交易添加到本地历史前，先验证其中花费本钱包资金的输入签名，如果发现无效签名则这项交易历史会从钱包中移除。
对用户而言需要立即升级到 Electrum 4.8.3 或后续版本，同时每次转账时都应该仔细核对转账地址和金额，不能只看转账地址的前四位和后四位，不然也有可能被黑客使用相似地址骗钱。
