恶意Electrum服务器通过诱导用户加价手续费窃取比特币

Electrum开发者于10月24日发布了一份安全公告。开发者将该漏洞标记为高危级别，并报告其已在真实环境中被利用。所有4.8.3版本之前的Electrum版本均受影响。修复程序包含在4.8.3版本中，其二进制文件于10月24日发布。

通过免费的Unchained Daily新闻简报，在您的收件箱中获取Unchained的加密新闻。

骗局内幕

由于Electrum依赖服务器获取未确认交易的状态，不诚实的服务器就有空间撒谎。这一权衡是该钱包已记录设计的一部分。

用户看到什么取决于服务器。服务器扣留真实的支付不向网络广播，并报告一个竞争版本，其中收款地址已被替换为攻击者的地址。钱包没有对该版本的无效签名进行检查，因此它将这个竞争版本显示为进行中的交易。

其中一笔伪造交易未支付任何手续费，公告称这“ presumably 是希望用户为其加价手续费”。用户照做了，Electrum便签署了一笔有效的替代交易，将资金支付给了攻击者。

开发者收到了两份报告。两名受害者均报告称，窃贼的地址与其原本打算支付的地址末尾四位字符相同。公告称，其中一名用户（署名为Raju-K12）“为tx2加价了手续费并损失了资金”，此处指的是那笔虚假交易。公告和发布说明均未披露被盗金额或涉及哪些服务器。

修复方案

4.8.3 版本增加了一项检查。花费钱包自身代币的内存池交易，其签名会在进入本地历史记录之前得到验证。公告将以入账交易为例，说明哪些内容仍未经验证。

10 月 11 日收到了一份私下披露，但公告指出“bump_fee 向量尚未实现”。一周后，即 10 月 18 日 Raju-K12 报告资金损失时，手续费替换盗币事件才变得清晰。

“连接到它们信任的服务器（例如运行自己的服务器）的客户端不受影响，”公告称。除非升级，公告建议每次都要查看屏幕上的输出，无论是否进行手续费替换。只连接到您信任的服务器也可以避免该问题。

相关收听：为什么从 Ledger 窃取 1 亿美元需要“数月的研究和开发”

文章《恶意 Electrum 服务器通过诱骗用户进行手续费替换来窃取比特币》首先发布于 Unchained。