Electrum 官方发布 4.8.3，修复了一个严重安全漏洞，并敦促所有用户尽快升级。
这个漏洞的攻击手法是这样的：恶意服务器先扣住你刚广播出去的交易，再往你的钱包历史里塞进一笔收款地址被替换过的假交易。假交易本身没有有效签名，但旧版钱包却可能把它显示成一笔未确认交易。
危险就接在下一步。如果你发现交易迟迟没有确认，点一下 RBF 加速并重新签名，就可能真的把 BTC 转给黑客。
官方已经收到两起相关报告，其中一名用户因此损失了资金。更值得警惕的是，黑客还特意让假地址的最后四位和真实地址一致，专门利用很多人只核对尾号的习惯。
官方给出的建议是：尽快升级到 4.8.3，只从官网下载并验证 GPG 签名，警惕假更新链接；升级之前，不要对异常的未确认交易随便做 RBF 加速；每次签名前都要核对完整的收款地址和金额，用硬件钱包也要在设备屏幕上确认一遍；有条件的可以连接自己的 Electrum 服务器，但这不能替代及时升级。另外，升级时 Windows Defender 可能会对 ZXing.dll 报警，官方说明那是误报，可以忽略。
这件事再次提醒我们：私钥没有泄露，不代表资金就一定安全。签名之前，你还得确认自己到底在签什么。
正文完