Electrum 4.8.3 закриває пастку в гаманці: перевірте його перед підвищенням комісії
Публікація джерела: 2026-10-24 · Редакційний аналіз опубліковано: 2026-10-25
Electrum 24 жовтня повідомила про вразливість, яку вже використовують. Старі гаманці могли підписати підмінений платіж під час підвищення комісії; у 4.8.3 додано перевірку підписів.
Невелике оновлення з реальною причиною діяти
Electrum 24 жовтня опублікувала бюлетень про вразливість версій до 4.8.3. Розробники повідомляють, що зловмисні сервери вже її використовують: один користувач втратив гроші після підвищення комісії. Якщо ви зберігаєте виплати майнінгу в Electrum, варто перевірити версію гаманця перед наступним підписанням платежу.
У бюлетені рівень небезпеки позначено як High — високий. Виправлення міститься у 4.8.3: позначка вихідного коду й опис релізу датовані 23 жовтня, а готові програми для завантаження та публічне розкриття — 24 жовтня. Це різні етапи одного випуску.
Йдеться про гаманець, яким ви дозволяєте витрачання монет. Оновлення прошивки ASIC, зміна пулу чи адреси виплат не встановлюють виправлення Electrum. Спершу визначте, яка саме програма зберігає ключі або підписує ваші платежі.
Як працює пастка
Electrum — легкий гаманець: він отримує від серверів інформацію про блокчейн, замість самостійно утримувати повний вузол перевірки Bitcoin. Транзакція, яка ще не потрапила до блока, є непідтвердженою. Помилка стосувалася приймання певних таких транзакцій до історії гаманця.
За описом розробників, зловмисний сервер міг затримати щойно надісланий платіж і показати замість нього іншу, конфліктну транзакцію з адресою нападника. Вона ще не мала правильних підписів. Небезпека виникала, коли користувач вирішував підвищити її комісію та підписував нову версію.
Це схоже на ситуацію, коли ви перевірили одну платіжну інструкцію, а потім погодили змінену копію, бо її позначка здалася знайомою. Проблема пов’язувала історію на екрані з наступним підписанням. Сама непідписана підробка не отримувала можливості витрачати будь-чиї Bitcoin, і мережа не починала приймати неправильні підписи.
Підвищення комісії — ще одне рішення про платіж
Replace-by-Fee, скорочено RBF, дозволяє замінити придатний непідтверджений платіж іншим із більшою комісією. Цим користуються, коли переказ затримується й хочеться зацікавити майнерів включити його до блока. Заміна все одно потребує дійсного дозволу витратити монети гаманця.
Тому екран зміни комісії потребує такої самої уваги, як початкове надсилання. Ще раз перевірте адреси одержувачів і суми. У бюлетені зазначено: нападники підібрали адреси з такими самими останніми чотирма символами, як у справжньої адреси. Порівняння лише короткого закінчення не допомагало.
Розробники також описують підроблену транзакцію з нульовою комісією — імовірно, щоб підштовхнути людину її збільшити. Дивна комісія чи незнайомий запис в історії є приводом розібратися в самому платежі, а не автоматично натиснути кнопку «прискорити».
Що змінює 4.8.3
Перед додаванням відповідної непідтвердженої транзакції до локальної історії оновлений гаманець перевіряє підписи входів, що належать гаманцю. Вхід указує, які саме монети витрачаються. Перевірка перекриває описаний шлях від підміни з неправильними підписами до наступного справжнього підписання.
Electrum при цьому не перетворюється на повний вузол перевірки. Бюлетень окремо зазначає: додана перевірка власних входів не охоплює таким самим способом вхідні перекази. Виправлення конкретної помилки не означає необмеженої гарантії захисту всіх можливих операцій.
Розробники кажуть, що клієнти, які підключаються до довірених серверів, наприклад власного, не зазнають цієї серверної атаки. Загальна рекомендація регулярно оновлюватися залишається. Власний сервер теж потрібно підтримувати; обрати чужий із переконливою назвою — інша ситуація.
Оновлюйтеся офіційним шляхом
Завантажуйте випуск для своєї платформи через electrum.org. Проєкт застерігає від інших джерел і надає інструкції перевірки цифрового підпису. Такий підпис допомагає встановити, хто випустив файл і чи не змінився він після випуску.
Не переходьте за посиланням на оновлення з приватного повідомлення й не віддавайте фразу відновлення людині, яка пропонує «полагодити» гаманець. Це резервний набір слів для відновлення контролю над монетами; сторонньому помічнику він не потрібен для визначення версії програми.
Якщо платіж уже виглядає неправильним, звірте повну адресу, суму й ідентифікатор транзакції зі своїм наміром, перш ніж дозволяти нове витрачання. Бюлетень повідомляє про реальні втрати, але не називає загальної суми й не обіцяє, що оновлення скасує вже підписаний і підтверджений переказ.
Що це означає для виплат майнінгу
Баланс пулу, надходження до гаманця та подальший вихідний платіж — окремі етапи. Описана атака спрямована на витрачання через Electrum. Поява виплати в історії не дорівнює підписанню власником транзакції на заміну.
У домашньому майнінгу гаманець іноді отримує менше уваги, ніж сам пристрій. Але енергоефективна машина не захистить платіж, який пізніше підписано на неправильну адресу. Актуальна програма й перевірка кожного дозволу захищають іншу частину того самого шляху доходу.
Практична дія конкретна: перевірте Electrum, установіть офіційний виправлений випуск і сприймайте підвищення комісії як нове рішення про підписання. Бюлетень не змінює алгоритм майнінгу Bitcoin, винагороду за блок або суму, яку вам винен пул.
Джерело: Electrum ↗ · Official download and signature verification ↗ · 4.8.3 release notes ↗
Калькулятор майнінгу ↗
