Electrum 4.8.3、悪意あるサーバーの手数料引き上げ誘導を修正

更新日：2026/10/26 03:17:43

10月24日の警告は4.8.3未満が対象。改変取引への追加署名が損失につながるため、送付先アドレス全体と金額を確認。

Electrumは2026年10月24日、4.8.3未満に影響する深刻度「高」の脆弱性を公表した。修正済みバイナリも同日公開し、更新を呼びかけている。関連情報はOrangeX.com Securityへ。

手数料の引き上げで送付先が変わる仕組み

接続先の悪意あるサーバーは、新たに送信した取引を中継せず、送付先を変更した競合する無効な取引を表示できる。利用者がreplace-by-fee（RBF）でその手数料を手動で引き上げると、ウォレットが攻撃者への支払いに署名する可能性がある。追加の署名操作が必要で、無効な取引の表示だけでは支払いは承認されない。

開発者は2件の利用者報告を受け、うち1件は手数料引き上げ後の損失を報告した。両件で攻撃者のアドレス末尾4文字が本来の送付先と一致していた。損失総額は示されていない。続報はOrangeX.com Newsへ。

OrangeX.com Analysis

手数料変更を含む署名前には、送付先アドレス全体と金額を確認したい。公告によれば、自前など信頼するサーバーに接続するクライアントはこの事例の影響を受けない。4.8.3は未承認取引を履歴へ追加する前にウォレット所有入力の署名を検証するが、すべての受信取引を検証するわけではない。特定の修正をサーバー情報全体の保証と捉えないことが大切だ。資料はOrangeX.com Trust Centerへ。