Electrum выпустил срочное обновление безопасности после атак на пользователей

24 октября 2026 года команда Electrum выпустила срочный патч для своего биткоин-кошелька. Обновление 4.8.3 устраняет опасную уязвимость, которая затрагивает все предыдущие версии программы.

Проблема в том, как Electrum обрабатывает неподтверждённые транзакции: кошелёк доверяет серверу, к которому подключён пользователь. Вредоносный сервер может задержать платёж вместо того, чтобы отправить его в сеть биткоина, и подменить запись в истории кошелька на мошенническую транзакцию с переводом средств на адрес атакующего. Такие транзакции содержали недействительные подписи, и раньше Electrum их не проверял. Если пользователь пытался ускорить фиктивный платёж через функцию Replace-by-Fee, он фактически сам подписывал перевод средств злоумышленнику.

В обоих зафиксированных случаях мошеннический адрес совпадал с настоящим по последним четырём символам — подмену было трудно заметить. Разработчики получили два сообщения о таких атаках, 11 и 18 октября. Первый пользователь заметил подлог, второй потерял биткоины после попытки увеличить комиссию по фальшивой транзакции.

Версия 4.8.3 добавляет проверку подписей для неподтверждённых транзакций, которые тратят средства кошелька. Команда Electrum рекомендует срочно обновиться через electrum.org и проверить GPG-подписи загружаемых файлов. Пользователям, которые работают только через собственный доверенный сервер, угроза не грозит. Разработчики также уточнили: предупреждение Windows Defender по файлу ZXing.dll, если оно появится, — ложное срабатывание.