🐕 野狗加密 · 午间快讯（10月26日）
Electrum 刚堵上一个阴险的漏洞——轻钱包用户都该竖起耳朵。
玩法是这样的（CoinDesk、Electrum 10 月 24 日安全公告）：Electrum 要靠外部服务器查交易记录。恶意服务器能在你的付款上网之前把它截下来，换成一个假的——输入相同，收款地址却是攻击者的，而且旧版钱包根本不验未确认交易的签名，就这么把它显示成待处理。假地址后四位还特意做得跟真地址一样，粗看根本发现不了。
最狠的是下一步：假交易手续费是零，看着像卡住了——你一按加速（Replace-by-Fee）想把它推过去，等于亲手给攻击者的交易签了名，自己的加速操作完成了这起盗窃。10 月已有两名用户上报，其中一人丢了钱。
修复版已经出了：Electrum 4.8.3 开始验未确认交易的签名。还在用旧版、连公共服务器的，赶紧升级；签名前把完整地址和金额对一遍，别只看后几位。
说句大实话：一个不验自己展示内容真假的钱包，不叫钱包，叫拿着你币的传谣机器。用自己可信服务器的用户压根没中招——这就是教训：要么自己搭服务器，要么马上升级。
只讲事实，不预测、不喊单。
Electrum 刚堵上一个阴险的漏洞——轻钱包用户都该竖起耳朵。
玩法是这样的（CoinDesk、Electrum 10 月 24 日安全公告）：Electrum 要靠外部服务器查交易记录。恶意服务器能在你的付款上网之前把它截下来，换成一个假的——输入相同，收款地址却是攻击者的，而且旧版钱包根本不验未确认交易的签名，就这么把它显示成待处理。假地址后四位还特意做得跟真地址一样，粗看根本发现不了。
最狠的是下一步：假交易手续费是零，看着像卡住了——你一按加速（Replace-by-Fee）想把它推过去，等于亲手给攻击者的交易签了名，自己的加速操作完成了这起盗窃。10 月已有两名用户上报，其中一人丢了钱。
修复版已经出了：Electrum 4.8.3 开始验未确认交易的签名。还在用旧版、连公共服务器的，赶紧升级；签名前把完整地址和金额对一遍，别只看后几位。
说句大实话：一个不验自己展示内容真假的钱包，不叫钱包，叫拿着你币的传谣机器。用自己可信服务器的用户压根没中招——这就是教训：要么自己搭服务器，要么马上升级。
只讲事实，不预测、不喊单。