Electrum钱包发布4.8.3版本 增加未确认交易签名校验

Electrum 钱包发布 4.8.3 版本

比特币软件钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，新增针对未确认交易的签名校验功能。该版本用于处理此前披露的一项钱包与外部服务器交互机制中的问题。Electrum 是比特币生态中较早出现的软件钱包之一。

机制说明

与运行完整比特币节点不同，Electrum 依赖外部服务器获取交易历史并广播支付。在本次更新之前，钱包会直接采信这些服务器上报的未确认交易，而不对其签名进行验证。

按照开发团队在上周六披露的说明，控制相关服务器的一方可以在支付进入比特币网络之前将其拦截，并在钱包历史记录中用一笔伪造交易替换。该伪造交易把用户的币指向另一方控制的地址，所携带的签名无效，但旧版本 Electrum 未能识别。

钱包随后会把这笔伪造支付显示为待确认状态。当用户尝试加快确认速度时，相关机制会被触发：比特币允许未确认交易被替换为手续费更高的版本，这一功能称为 Replace-by-Fee（费用替换）。用户选择该选项后，Electrum 可能对那笔伪造交易进行签名，从而生成一笔有效的替代交易。

两起用户报告

据披露信息，10 月共收到两起报告。10 月 11 日提交的第一起涉及一个 2-of-3 多重签名钱包，使用两台 Trezor 硬件设备。该用户在两台设备上都核对过正常支付，但随后在钱包历史中发现了一笔不同的转出交易，该用户未报告资金损失。

10 月 18 日，第二位用户报告称对一笔被替换的交易提高了手续费，并因此发生资金损失。开发团队未披露具体金额，也未公布相关服务器的身份。

在其中一起案例中，伪造交易的手续费为零，在钱包中显示为长时间滞留状态。此外，相关地址的后四位字符与原本的收款地址一致，使快速核对时不易察觉差异。

修复内容与使用建议

4.8.3 版本为花费用户自身钱包资金的未确认交易增加了签名检查。开发团队指出，较早版本在连接相关服务器时仍会出现同样的情况，建议用户升级至新版本，并在签名前核对收款地址与金额。仅连接可信服务器（包括自建服务器）的用户不在受影响的范围内。

此次版本更新发布于首起资金损失报告之后的第六天。

信息来源：CoinDesk