你以为点的是加速
其实点的是转账
老钱包 Electrum 这次栽了个很阴的跟头
10月26日 CoinDesk 披露
漏洞不在私钥 在服务器给你的那张未确认账单
Electrum 不像全节点 它要靠外部服务器查账和广播
旧版本信了服务器报来的待确认交易 没验签名
恶意服务器就能把你那笔还没上链的付款
悄悄换成一张假账单 收款地址是攻击者的
假账单还没手续费 看着像卡住了
你一点加速费 想把它推出去
钱包就拿着这张假账单签了个合法的替换版
钱直接去了攻击者口袋
更阴的是 假地址后四位和真地址一模一样
扫一眼根本看不出来
10月已经有两起报告
10月11日那起是双硬件的多签钱包 用户在两台设备上都核对过真付款
后来才发现历史里多了一笔陌生的转出 那次没丢钱
10月18日第二起 用户给被换过的交易提了费 钱丢了 官方没公布金额
也没点名是哪几台恶意服务器
10月24日官方出了 4.8.3
给相关未确认交易加了签名校验
旧版本连上恶意服务器还是中招
只连自己服务器的人没暴露
钱包老不等于钱包安全
这次偷的不是密码 是你对那张待确认账单的信任
仅个人看法，不构成任何投资建议
#Electrum钱包漏洞 $BTC