资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
大多数比特币盗窃案需要你的助记词，但这次并非如此
Electrum 作为最古老的比特币钱包之一，其存在的一个漏洞允许恶意服务器替换待处理支付为伪造的支付，然后等待用户执行完全常规的操作：加速交易。当你批准更高的手续费时，你签署的实际上是攻击者的交易，而非你自己的交易。在修复程序于 10 月 24 日上线之前，至少有一名用户损失了资金。以下是事件的经过及其重要性，即使你从未使用过 Electrum。
比特币“手续费提升”陷阱是如何运作的？
像 Electrum 这样的轻节点钱包并不下载完整的区块链数据。它们向外部服务器查询你的交易历史并广播支付请求。已确认的交易会与区块链进行核对，但待处理的交易往往仅基于钱包所连接的主服务器提供的信息而盲目信任。
这一信任缺口成为了攻击入口。运行这些服务器的攻击者可以在 outgoing 支付到达网络之前拦截它，并向钱包提供伪造版本。该伪造交易将你的硬币发送到了攻击者控制的地址中（在某些案例中，收款人地址的最后四位字符与真实接收者相同），并且携带的手续费极低，导致其永远无法被确认。钱包则将其显示为合法的待处理支付。
随后便是诱饵。一笔停滞的交易自然会促使用户使用“替代费率”（Replace-by-Fee, RBF）功能来加速缓慢支付的进程。在 Electrum 中，提升手续费意味着重新签名历史记录中显示的 transaction。由于该交易是攻击者伪造的，签名依然有效，资金随即转移，盗窃行为看起来就像是一次正常的手续费增加。
谁受到了 Electrum 漏洞的影响？
Electrum 于 10 月 24 日披露了该问题，并确认某些服务器正在积极利用此漏洞。首份报告来自一名于 10 月 11 日运行双签三多（2-of-3 multisig）设置的用户，他拥有两个硬件钱包，并在历史记录中发现了一笔陌生的支出交易，但未造成资金损失。另一位用户则没那么幸运。开发者尚未公布被盗金额或涉及的具体服务器名称。
仅连接到自身服务器或受信任服务器的用户从未暴露风险。所有运行低于 4.8.3 版本的用户，只要钱包能够连接到恶意服务器，就仍然处于危险之中。
Electrum 4.8.3 版本的修复改变了什么？
4.8.3 版本增加了对未确认交易的签名检查，这些交易花费的是来自你自己钱包的资金。服务器不能再将无效交易混入你的历史记录，并由钱包将其呈现为真实交易。请仅从官方渠道 electrum.org 下载更新，切勿点击钱包内的弹出窗口或消息中的链接。2019 年，Electrum 用户曾遭遇过完全相同的虚假更新提示，当时恶意服务器盗走了超过 460 万美元。
如何保护你的比特币钱包免受此类攻击
这一教训不仅仅适用于单一钱包。任何依赖第三方提供未确认数据的软件都存在同样的弱点，因此保持以下习惯至关重要：
- 将每次手续费提升视为新交易：不要默认信任界面显示的信息。
- 仔细核对完整地址和金额：在签名屏幕上，检查完整的收款地址和金额，而不仅仅是最后几位字符。
- 在设备上确认：如果你使用硬件钱包，请在其显示屏上验证目的地。正是那位运行多重签名设置的硬件钱包用户发现了异常，因为硬件设备显示了不同的信息。
- 优先使用自己的节点或可控服务器：该攻击仅在陌生人向你的钱包提供历史记录时才生效。
- 保持钱包软件最新：尽可能通过开发者的签名验证下载内容。
自我托管让你掌握安全主动权，这包括那些看似枯燥的步骤。花三十秒检查地址仍然是加密货币中最廉价的保险措施。
