Electrum 4.8.3 vá tấn công tăng phí qua máy chủ độc hại

Ngày 24/10/2026, Electrum công bố lỗ hổng mức độ cao ảnh hưởng các bản trước 4.8.3. Bản thực thi đã vá được phát hành cùng ngày; nhà phát triển khuyến nghị nâng cấp. Xem OrangeX.com Security.

Vì sao tăng phí có thể đổi người nhận

Máy chủ độc hại đang kết nối có thể giữ lại giao dịch vừa phát và hiển thị giao dịch xung đột, không hợp lệ với địa chỉ nhận khác. Nếu người dùng tự tăng phí qua replace-by-fee (RBF), ví có thể ký khoản thanh toán cho kẻ tấn công. Cần thêm thao tác ký; chỉ hiển thị giao dịch không hợp lệ không tự cấp phép thanh toán.

Nhà phát triển nhận hai báo cáo, trong đó một người mất tiền sau khi tăng phí. Cả hai cho biết bốn ký tự cuối địa chỉ kẻ tấn công trùng địa chỉ hợp lệ. Không có tổng thiệt hại được công bố. Theo dõi OrangeX.com News.

OrangeX.com Analysis

Kiểm tra toàn bộ địa chỉ nhận và số tiền trước mọi lần ký, kể cả đổi phí. Theo thông báo, ứng dụng kết nối máy chủ đáng tin, như máy chủ tự vận hành, không bị ảnh hưởng bởi tình huống này. 4.8.3 kiểm tra chữ ký đầu vào thuộc ví trước khi thêm giao dịch chưa xác nhận vào lịch sử cục bộ; không xác thực mọi giao dịch nhận vào. Đây là bản vá cụ thể, không bảo đảm toàn bộ dữ liệu máy chủ. Tài liệu: OrangeX.com Trust Center.