Electrum раскрывает критическую уязвимость, эксплуатировавшуюся в реальных атаках, с потерей средств пользователей

Источник: PANews2026/10/25 04:22

Анализ

Раскрытие Electrum подрывает давнее допущение о доверии к кошельку: риск здесь не в сломанной схеме подписи, а в том, что вредоносный сервер манипулирует историей транзакций, которую видит пользователь, поэтому законное действие по повышению комиссии (RBF) становится шагом подписания, финансирующим атакующего. Подтверждённые элементы — рекомендация о высокой степени серьёзности, охватывающая все версии до 4.8.3, эксплуатация в реальных условиях некоторыми серверами и два сообщённых случая с одним подтверждённым убытком; сумма остаётся нераскрытой. Путь передачи узок, но опасен: он затрагивает пользователей публичных или сторонних серверов, которые повышают комиссию без повторной проверки получателя, тогда как пользователи собственных серверов не затронуты. Следует наблюдать, опубликует ли команда Electrum чёрные списки серверов или инструменты обнаружения, проведут ли другие лёгкие кошельки с похожей архитектурой отображения истории аудит своих RBF-потоков и превратятся ли два сообщённых случая в более широкий список потерь.

Если у вас есть отзывы или вопросы по этому контенту, свяжитесь с нами по адресу crypto.news@kcex.com

PANews, 25 октября: биткоин-кошелёк Electrum опубликовал в X подробности уязвимости, исправленной в версии 4.8.3. Согласно его рекомендации по безопасности на GitHub, уязвимость имеет высокую степень серьёзности и затрагивает все версии до 4.8.3: вредоносный сервер Electrum может перехватить только что отправленную пользователем транзакцию и заменить её в истории кошелька конфликтующей транзакцией, выплачивающей средства на адрес атакующего; если пользователь применяет RBF для повышения комиссии по этой транзакции, кошелёк подпишет транзакцию и отправит средства атакующему. Electrum сообщил, что некоторые серверы уже осуществили эту атаку в реальных условиях, и на данный момент два пользователя сообщили о связанных случаях, один из которых потерял средства при повышении комиссии; конкретная сумма не раскрыта. Официальная рекомендация — пользователям обновиться до версии 4.8.3, а до обновления проверять адрес получателя и сумму при подписании любой транзакции (включая повышение комиссии). Пользователи, подключающиеся к собственным серверам, не затронуты.

Отказ от ответственности: Статьи, повторно опубликованные на этом сайте, взяты с публичных платформ и предоставляются только для справки. Эти статьи не отражают взгляды или мнения KCEX. Все авторские права принадлежат первоначальным авторам. Если вы считаете, что какая-либо повторно опубликованная статья нарушает права третьей стороны, свяжитесь с crypto.news@kcex.com для ее удаления. KCEX не делает никаких заявлений и не дает никаких гарантий относительно своевременности, точности или полноты повторно опубликованных статей и не несет ответственности за любые действия или решения, принятые на основании такого контента. Повторно опубликованные материалы предназначены только для информационных целей и не являются советом, одобрением или основанием для принятия каких-либо коммерческих, финансовых, юридических и/или налоговых решений.