想加点手续费，结果把钱签给了攻击者？ Electrum 4.8.3 之前版本有这么个坑：恶意服务器能扣住你刚广播的交易，把钱包历史换成一笔付给攻击者的冲突交… · @WWTLitee · TwKit

@WWTLitee

想加点手续费，结果把钱签给了攻击者？ Electrum 4.8.3 之前版本有这么个坑：恶意服务器能扣住你刚广播的交易，把钱包历史换成一笔付给攻击者的冲突交易。 一旦你手动 RBF 提高手续费，钱包会重新签名，资金就真的付给攻击者了。 官方收到两名用户报告，其中一人提高手续费后损失资金，两起攻击地址末四位和原目标一模一样，摆明了是定向伪装。 不是无条件盗币，触发条件很具体：连到恶意服务器 + 手动 RBF 提手续费，缺一不可。 但别拿这个当侥幸理由，连公共服务器的人本来就一堆。 4.8.3 的修复是把验证前置：未确认交易进本地历史前，先验属于钱包的输入签名，假交易根本进不来。 自建服务器或连可信服务器的客户端本来就不受这攻击影响，说白了又是公共节点用户的锅。 没升级的，签名前务必核对完整地址和金额，只看末四位等于给攻击者递刀子。 4.8.3 和 GPG 签名官网都有，别拖。

曝光 2257 · 评论 4 · 点赞 2 · 书签 0