你点的那次「提高手续费」，签的可能是小偷的交易。
10 月 24 日，Electrum 发了 4.8.3。修的是个高危漏洞，影响 4.8.3 之前的全部版本。
Electrum 是轻钱包。它不存整条链，交易历史、估费、广播都靠外部服务器。
已确认的交易它自己验签名。未确认的，老版本有的不验。
攻击就从这道缝里进来。五步。
一，恶意服务器拦下一笔你的真实付款，不让它广播出去。
二，换成一笔指向攻击者地址的交易。这笔交易的签名是无效的。
三，老版本不查签名，把它显示成一笔普通的待确认付款。
四，你看到「还没确认」，自然会想提高手续费让它快点。
五，点下提费的那一刻，签的是攻击者那笔。币直接走了。
两个细节比机制更值得记。
攻击者生成的地址，末四位跟原地址一模一样。人眼扫一眼，很难发现。
其中一笔欺诈交易的手续费是 0。这个 0 不是失误，是钩子。
时间线是这样。
10 月 11 日，用户 dannydeezy 报告交易被替换，机制当时没查清。
10 月 18 日，用户 Raju-K12 在「确认提高手续费」之后丢了币。
第二条报告之后，这件事从理论变成了案例。
修复方式不复杂。补丁要求对花自己币的未确认交易也验签，签名无效的直接拒掉。
同类事故不是第一次。2018 年 12 月到 2019 年 4 月，恶意服务器用假的升级提示钓过一轮。
据 Malwarebytes 估算，那一轮拿走至少 771 枚 $BTC。
补丁落在 3.3.3，攻击还是拖到了 4 月。
能自己做的事，五条。
一，只从 electrum.org 下载，装完验证签名。
二，看版本号是不是 4.8.3。
三，比对完整地址，不是末四位。
四，点「提高手续费」之前，再核对一遍输出地址和金额。
五，大额之前先用小额走一遍。自己搭服务器的人不受这个攻击影响。
反面也要说。这不是「Electrum 不安全」，也不是「丢了能追回」。
补丁之后，签名无效的交易在进入本地记录之前就被拒了。口子收在这一步。
我拿不准的是还有多少人在用旧版本。官方没公布版本分布，也没公布受影响钱包的数量。说得通，但没法证。
真正值得记住的是这个结构。
任何把「确认」做成一次点击的设计，最后都会在某天变成别人替你按的按钮。
因为签名是授权，不是收据。
$BTC 10 月 25 日 80935，24 小时 -0.1%。这类事故动不了价格。
你上一次核对钱包里的收款地址，是复制粘贴，还是逐位比对？
数据：4.8.3 版本与攻击链细节，取自 Bitcoin.com 10 月 25 日报道。
漏洞编号与修复提交为 Electrum 官方仓库安全公告与 commit 记录。
两起用户报告的时间与用户名，出自同一篇报道。
771 枚为 Malwarebytes 2019 年 4 月的估算，是上一轮事故的数字，不是本次损失。
本次被盗金额至今未披露。
$BTC 价格为币安现货，采集 2026-10-25 12:15 CST。
7 日均线在 81927，价格还在它下方。
以上为钱包安全常识整理，不构成投资建议。 #钱包安全 #比特币 #自托管
10 月 24 日，Electrum 发了 4.8.3。修的是个高危漏洞，影响 4.8.3 之前的全部版本。
Electrum 是轻钱包。它不存整条链，交易历史、估费、广播都靠外部服务器。
已确认的交易它自己验签名。未确认的，老版本有的不验。
攻击就从这道缝里进来。五步。
一，恶意服务器拦下一笔你的真实付款，不让它广播出去。
二，换成一笔指向攻击者地址的交易。这笔交易的签名是无效的。
三，老版本不查签名，把它显示成一笔普通的待确认付款。
四，你看到「还没确认」，自然会想提高手续费让它快点。
五，点下提费的那一刻，签的是攻击者那笔。币直接走了。
两个细节比机制更值得记。
攻击者生成的地址，末四位跟原地址一模一样。人眼扫一眼，很难发现。
其中一笔欺诈交易的手续费是 0。这个 0 不是失误，是钩子。
时间线是这样。
10 月 11 日，用户 dannydeezy 报告交易被替换，机制当时没查清。
10 月 18 日，用户 Raju-K12 在「确认提高手续费」之后丢了币。
第二条报告之后，这件事从理论变成了案例。
修复方式不复杂。补丁要求对花自己币的未确认交易也验签，签名无效的直接拒掉。
同类事故不是第一次。2018 年 12 月到 2019 年 4 月，恶意服务器用假的升级提示钓过一轮。
据 Malwarebytes 估算，那一轮拿走至少 771 枚 $BTC。
补丁落在 3.3.3，攻击还是拖到了 4 月。
能自己做的事，五条。
一，只从 electrum.org 下载，装完验证签名。
二，看版本号是不是 4.8.3。
三，比对完整地址，不是末四位。
四，点「提高手续费」之前，再核对一遍输出地址和金额。
五，大额之前先用小额走一遍。自己搭服务器的人不受这个攻击影响。
反面也要说。这不是「Electrum 不安全」，也不是「丢了能追回」。
补丁之后，签名无效的交易在进入本地记录之前就被拒了。口子收在这一步。
我拿不准的是还有多少人在用旧版本。官方没公布版本分布，也没公布受影响钱包的数量。说得通，但没法证。
真正值得记住的是这个结构。
任何把「确认」做成一次点击的设计，最后都会在某天变成别人替你按的按钮。
因为签名是授权，不是收据。
$BTC 10 月 25 日 80935，24 小时 -0.1%。这类事故动不了价格。
你上一次核对钱包里的收款地址，是复制粘贴，还是逐位比对？
数据：4.8.3 版本与攻击链细节，取自 Bitcoin.com 10 月 25 日报道。
漏洞编号与修复提交为 Electrum 官方仓库安全公告与 commit 记录。
两起用户报告的时间与用户名，出自同一篇报道。
771 枚为 Malwarebytes 2019 年 4 月的估算，是上一轮事故的数字，不是本次损失。
本次被盗金额至今未披露。
$BTC 价格为币安现货，采集 2026-10-25 12:15 CST。
7 日均线在 81927，价格还在它下方。
以上为钱包安全常识整理，不构成投资建议。 #钱包安全 #比特币 #自托管