electrum

Bitcoin News の監視によると、Electrum は 2026 年 10 月 24 日に 4.8.3 バージョンをリリースし、実際の攻撃に使用されたセキュリティ脆弱性を修正しました。悪意のあるサーバーはユーザーに偽の取引を表示し、ユーザーが代替手数料（RBF）を使用して取引を加速しようとする際に、攻撃者のアドレスへの支払いを署名するように誘導します。攻撃者はユーザーの秘密鍵を取得する必要はありません。Electrum は関連する報告を 2 件受け取ったと述べており、そのうちの 1 人のユーザーは手数料を引き上げた後にビットコインを失ったと報告しており、ユーザーに 4.8.3 バージョンへの更新を推奨しています。

ビットコイン軽量ウォレット Electrum は 10 月 24 日に取引手数料に対する悪意のあるサーバー攻撃を公表し、4.8.3 バージョンで修正しました。これは GitHub セキュリティ公告 GHSA-6jp4-8v48-cc5v に対応しています。ユーザーが取引に通常の手数料を加える際、資金を攻撃者に署名してしまう可能性があります。開発者によると、これはユーザーが手数料を署名した後に資金を失ったと報告したことが原因です。二つの報告の結果は異なります：一人は支払いを放送した後、ウォレットの履歴にある取引が置き換えられていることに気づき、元の支払いがビットコインのピアツーピアネットワークに入っておらず、サーバーに保持されていると述べました；もう一人の Raju-K12 は置き換えられた取引の手数料を加えた後に資金を失いました。攻撃では、悪意のあるサーバーがクライアントが放送した新しい取引を保持し、履歴に対立する取引を挿入し、元の出力を攻撃者のアドレスに置き換えました。その置き換え取引は当時署名が無効でしたが、軽量クライアントは未確認の取引前にこれらの署名を確認していませんでした；ユーザーは RBF を通じて手動で手数料を加え、署名した後、攻撃者が受け取ることが有効になりました。二人とも攻撃者のアドレスが合法的な受取アドレスの末尾四桁と同じであると述べています。公告では盗まれた金額、取引識別子、または攻撃者のアドレスは公表されていません。パッチは 90fe308 に対応し、メモリプールの取引をローカル履歴に書き込む前に、そのウォレットの独自の入力の署名を確認しますが、ウォレット外のアドレスの入力は上書きせず、完全な合意検証は行いません。公告では、未アップグレードのユーザーに対し、毎回署名する際に出力アドレスと金額を確認することを推奨しています；独自または信頼できるサーバーに接続しているクライアントはこの攻撃の影響を受けません。タイムラインでは、10 月 11 日に初めて非公開で公表され、10 月 18 日に手数料損失の報告を受け、修正バージョンは 10 月 23 日にタグ付けされ、バイナリと公開は 10 月 24 日に行われました。

ビットコインウォレット Electrum の公式が 4.8.3 バージョンのリリースを発表し、今回の更新で重大なセキュリティ問題が修正されたと述べ、すべてのユーザーにアップグレードを促しています。公式は、脆弱性の詳細な説明は後ほど発表されるとしています。その GitHub 更新ログでは 4.8.3 をセキュリティ更新としてマークし、リリース日は 10 月 23 日です。Electrum 公式サイトは、ユーザーがソフトウェアを公式サイトからのみダウンロードし、GPG デジタル署名を確認してインストールパッケージの出所と完全性を確認するように注意を促しています。

Electrumは4.8.2バージョンをリリースし、多くのセキュリティ修正を追加し、ビットコインウォレットのコードベースのセキュリティを強化しました。関連する修正は、Bitcoin Red Team、Calle、l0rinc、haoxucu、m0werなどの研究者の報告に基づいています。このバージョンでは、非決定的キーとアンカーチャネルを使用している一部のLightningウォレットに影響を与える重要なバックアップ問題が修正されました。以前は、影響を受けたウォレットのチャネルバックアップと完全なウォレットバックアップが、リモート強制終了後に資金をチェーン上に移動するために必要なキーを欠いている可能性がありました。影響を受けたユーザーがElectrumを起動すると警告が表示され、新しいバックアップをエクスポートする必要があります。旧バックアップはこのシナリオでは資金を正しく復元できません。このバージョンでは、Lightning HTLCの検証を強化し、以前に受け入れられていた形式エラーのxpub/xprvキーを拒否し、コードベースのセキュリティ強化の範囲を拡大し、AndroidのQRコードスキャナーがスクリーンショットを読み取るのを防ぎます。これはElectrumが7月以来、セキュリティを重視した3回目のバージョンリリースであり、以前のバージョンは4.8.0と4.8.1です。

ビットコインウォレット Electrum が 4.8.1 バージョンをリリースしました。公式は今回の更新に「重要なセキュリティ修正」が含まれていると述べ、ユーザーに早急なアップグレードを求めています。再現可能な開発者は、ダウンロードページにバイナリパッケージの独立した署名を提供しており、リリースパッケージとソースコードの整合性を検証するために使用されます。