Electrum розкриває критичну вразливість, яку використовували в реальних атаках, із втратою коштів користувачів

Джерело: PANews2026/10/25 04:22

Аналіз

Розкриття Electrum змінює давнє припущення про довіру до гаманця: ризик тут не в зламаній схемі підпису, а в тому, що зловмисний сервер маніпулює історією транзакцій, яку бачить користувач, тож легітимна дія підвищення комісії (RBF) стає кроком підписання, який передає кошти атакувальнику. Підтверджені елементи — критична рекомендація, що охоплює всі версії до 4.8.3, використання в реальних умовах деякими серверами та два повідомлені випадки з одним підтвердженим збитком; сума залишається нерозголошеною. Шлях передачі вузький, але небезпечний: він вражає користувачів публічних або сторонніх серверів, які підвищують комісію без повторної перевірки отримувача, тоді як користувачі власних серверів не постраждали. Слід стежити, чи опублікує команда Electrum чорні списки серверів або інструменти виявлення, чи перевірять інші легкі гаманці з подібним дизайном відображення історії свої RBF-процеси, і чи переростуть два повідомлені випадки в ширший підрахунок збитків.

Якщо у вас є відгуки або запитання щодо цього контенту, зв’яжіться з нами за адресою crypto.news@kcex.com

PANews, 25 жовтня: Біткоїн-гаманець Electrum опублікував у X деталі вразливості, виправленої у версії 4.8.3. Згідно з повідомленням про безпеку на GitHub, ця вразливість є критичною і стосується всіх версій до 4.8.3: зловмисний сервер Electrum може перехопити транзакцію, яку користувач щойно надіслав, і замінити її в історії гаманця конфліктною транзакцією на адресу атакувальника; якщо користувач застосує RBF, щоб підвищити комісію за цією транзакцією, гаманець підпише транзакцію та надішле кошти атакувальнику. Electrum заявив, що деякі сервери вже здійснювали цю атаку в реальних умовах, і наразі двоє користувачів повідомили про пов'язані випадки, один із яких втратив кошти через підвищення комісії; конкретну суму не розголошено. Офіційна рекомендація — користувачам оновитися до версії 4.8.3, а до оновлення перевіряти адресу отримувача та суму під час підписання будь-якої транзакції (включно з підвищенням комісії). Користувачі, які підключаються до власних серверів, не постраждали.

Відмова від відповідальності: Статті, повторно опубліковані на цьому вебсайті, взяті з публічних платформ і надаються лише для довідки. Ці статті не відображають погляди чи думки KCEX. Усі авторські права належать оригінальним авторам. Якщо ви вважаєте, що будь-яка повторно опублікована стаття порушує права третьої сторони, будь ласка, зв’яжіться з crypto.news@kcex.com для її видалення. KCEX не робить жодних заяв і не надає жодних гарантій щодо своєчасності, точності або повноти повторно опублікованих статей і не несе відповідальності за будь-які дії чи рішення, прийняті на основі такого контенту. Повторно опубліковані матеріали призначені лише для інформаційних цілей і не є порадою, схваленням або підставою для будь-яких комерційних, фінансових, юридичних та/або податкових рішень.