据 Woofun AI消息，比特币老牌软件钱包Electrum披露一处高危安全漏洞，恶意服务器通过篡改待确认交易记录，诱使用户在加速支付时签署向攻击者转账的指令，导致资金被盗。
该攻击利用了Electrum依赖外部服务器获取交易状态而非完整节点验证的架构弱点。攻击者控制服务器后，截获用户付款信息并用带有无效签名的虚假交易替换，使钱包显示为待处理状态。当用户试图通过“按费用替换”功能加快交易时，Electrum会基于欺诈性交易签署有效替代交易，将BTC转至攻击者地址。攻击者甚至将恶意交易手续费设为零以伪装卡顿，并生成与合法接收地址后四位相同的地址以规避检查。10月11日，一名使用两台Trezor硬件设备的三签制多重签名钱包用户报告发现记录异常，虽未损失资金但证实了攻击存在；10月18日，另一名用户因提高被替换交易的手续费而确认资金丢失。
Woofun AI整理数据显示，开发者尚未披露具体被盗金额及恶意服务器身份，但确认已有部分服务器正在利用此漏洞进行攻击。
Electrum于10月24日发布4.8.3版本，为涉及用户自有资金的待确认交易增加签名验证功能，但旧版本仍面临风险。此次修复距首起盗窃案报告仅六天，凸显了非全节点钱包在信任模型上的脆弱性。这是继多重签名验证绕过之后，又一次针对客户端交易逻辑的精准打击，提醒用户必须升级软件并在签署前严格核对接收地址与金额。
