Electrum 4.8.3 закрывает ловушку в кошельке: проверьте его перед повышением комиссии
Публикация источника: 2026-10-24 · Редакционный анализ опубликован: 2026-10-25
Electrum 24 октября сообщила об уже используемой уязвимости. Старые кошельки могли подписать подменённый платёж при повышении комиссии; в 4.8.3 добавлена проверка подписей.
Небольшое обновление с реальной причиной действовать
Electrum 24 октября опубликовала бюллетень об уязвимости версий до 4.8.3. Разработчики сообщают, что вредоносные серверы уже используют её: один пользователь потерял деньги после повышения комиссии. Если вы храните выплаты майнинга в Electrum, стоит проверить версию кошелька перед следующим подписанием платежа.
В бюллетене уровень опасности обозначен High — высокий. Исправление входит в 4.8.3: отметка исходного кода и описание выпуска датированы 23 октября, а готовые программы для загрузки и публичное раскрытие — 24 октября. Это разные этапы одного выпуска.
Речь о кошельке, которым вы разрешаете расходование монет. Обновление прошивки ASIC, смена пула или адреса выплат не устанавливают исправление Electrum. Сначала определите, какая именно программа хранит ключи или подписывает ваши платежи.
Как работает ловушка
Electrum — лёгкий кошелёк: он получает от серверов информацию о блокчейне вместо самостоятельного содержания полного проверяющего узла Bitcoin. Транзакция, ещё не попавшая в блок, считается неподтверждённой. Ошибка касалась принятия некоторых таких транзакций в историю кошелька.
По описанию разработчиков, вредоносный сервер мог задержать только что отправленный платёж и показать вместо него другую, конфликтующую транзакцию с адресом злоумышленника. У неё ещё не было правильных подписей. Опасность возникала, когда пользователь решал повысить её комиссию и подписывал новую версию.
Это похоже на проверку одного платёжного поручения с последующим одобрением изменённой копии, потому что её метка выглядит знакомо. Проблема связывала историю на экране с очередным подписанием. Сама неподписанная подделка не могла тратить чужие Bitcoin, а сеть не начинала принимать неправильные подписи.
Повышение комиссии — ещё одно решение о платеже
Replace-by-Fee, сокращённо RBF, позволяет заменить подходящий неподтверждённый платёж другим, с большей комиссией. Этим пользуются, когда перевод задерживается и хочется заинтересовать майнеров включить его в блок. Замена всё равно требует действительного разрешения потратить монеты кошелька.
Поэтому экран изменения комиссии требует такого же внимания, как первоначальная отправка. Ещё раз проверьте адреса получателей и суммы. В бюллетене сказано: нападавшие подобрали адреса с теми же последними четырьмя символами, что у настоящего адреса. Сравнения только короткого окончания было недостаточно.
Разработчики также описывают поддельную транзакцию с нулевой комиссией — предположительно, чтобы подтолкнуть человека её увеличить. Странная комиссия или незнакомая запись в истории — повод разобраться в самом платеже, а не автоматически нажать кнопку ускорения.
Что меняет 4.8.3
Перед добавлением соответствующей неподтверждённой транзакции в локальную историю обновлённый кошелёк проверяет подписи входов, принадлежащих кошельку. Вход указывает, какие именно монеты расходуются. Проверка перекрывает описанный путь от подмены с неправильными подписями к последующему настоящему подписанию.
Electrum при этом не превращается в полный проверяющий узел. Бюллетень отдельно отмечает: добавленная проверка собственных входов не охватывает таким же образом входящие переводы. Исправление конкретной ошибки не означает неограниченной гарантии защиты всех возможных операций.
Разработчики говорят, что клиенты, подключённые к доверенным серверам, например собственному, не подвержены этой серверной атаке. Общая рекомендация регулярно обновляться остаётся. Свой сервер тоже нужно обслуживать; выбрать чужой с убедительным названием — другая ситуация.
Обновляйтесь официальным путём
Загружайте выпуск для своей платформы через electrum.org. Проект предупреждает о загрузках из других источников и даёт инструкции проверки цифровой подписи. Такая подпись помогает установить, кто выпустил файл и не изменился ли он после выпуска.
Не переходите по ссылке на обновление из личного сообщения и не отдавайте фразу восстановления человеку, предлагающему «починить» кошелёк. Это резервный набор слов для восстановления контроля над монетами; постороннему помощнику он не нужен для определения версии программы.
Если платёж уже выглядит неправильным, сверьте полный адрес, сумму и идентификатор транзакции со своим намерением, прежде чем разрешать новое расходование. Бюллетень сообщает о реальных потерях, но не называет общей суммы и не обещает, что обновление отменит уже подписанный и подтверждённый перевод.
Что это означает для выплат майнинга
Баланс пула, поступление в кошелёк и дальнейший исходящий платёж — отдельные этапы. Описанная атака направлена на расходование через Electrum. Появление выплаты в истории не равнозначно подписанию владельцем заменяющей транзакции.
В домашнем майнинге кошельку иногда уделяют меньше внимания, чем устройству. Но энергоэффективная машина не защитит платёж, который позже подписан на неправильный адрес. Актуальная программа и проверка каждого разрешения защищают другую часть того же пути дохода.
Практическое действие конкретно: проверьте Electrum, установите официальный исправленный выпуск и воспринимайте повышение комиссии как новое решение о подписании. Бюллетень не меняет алгоритм майнинга Bitcoin, награду за блок или сумму, которую вам должен пул.
Источник: Electrum ↗ · Official download and signature verification ↗ · 4.8.3 release notes ↗
Калькулятор майнинга ↗
