Electrum 旧版漏洞：你点了“加速”，签下的却是另一笔付款

章节

• 0:00这两个地址，你觉得一样吗？
• 0:03结尾一样，开头不同
• 0:17恶意服务器调包
• 0:34点了“加速”
• 0:504.8.3 修复了什么
• 1:00核对地址的习惯

文字稿

这两个地址，你觉得一样吗？

结尾一样，开头却不同。

十月，比特币钱包 Electrum 公开了一个漏洞：旧版本连到恶意服务器时，你点一下"加速"，签下的可能是付给别人的钱。

它是这样发生的。你发出一笔付款，恶意服务器把它悄悄扣下，在你的钱包里换上另一笔：收款人换成了攻击者，地址的末尾四位，和你要付的地址一样。

这笔换来的付款，签名原本是无效的，可旧版钱包没有检查。

有一次，换来的那笔手续费是零，付款迟迟不确认。

你以为只是在加手续费，点了"加速"；钱包却为换过收款人的那笔付款，重新签了名。

付给攻击者的交易，就这样成真了。有一位用户，就是这样丢了钱。

四点八点三版已经修复了这个漏洞，旧版用户应当升级。

另一个提醒：钱包里收到的待确认记录，不等于已经到账。

这个漏洞只在旧版 Electrum，但核对地址的习惯，哪个钱包都用得上。

你上次核对收款地址，是从头读到尾，还是只扫了开头和结尾？

我是 IKOL。

出处

• Electrum 安全公告 GHSA-6jp4-8v48-cc5v（2026-10-24）：https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
• Electrum 发布说明 Release 4.8.3（2026-10-23）

画面为示意，事实以出处原文为准；不构成投资建议。IKOL · AI 辅助研究，人工审定。