Electrum 修复已遭利用的恶意服务器攻击：加手续费可能变成向攻击者付款

恶意服务器截留刚广播的付款，并在钱包的待确认历史中插入一笔输出由攻击者控制的冲突交易。原有签名对修改后的输出无效。如果用户随后签署替换交易来提高手续费，就可能授权向攻击者付款。

攻击需要恶意主服务器，以及用户再次签名，并非自动窃取助记词。原始付款可能从未到达比特币节点。即使之前已经在硬件钱包上核对过交易，加手续费时也必须再次核对。

4.8.3 在接受内存池历史前，会拒绝属于本钱包的输入上的无效签名。这不会把轻客户端变成完整共识验证器；收到的未确认付款仍不属于新增检查的范围。

项目收到两份报告，并称其中一名报告者损失了资金，没有公布总损失或更广泛的受害者数量。广泛使用的钱包已遭实际利用，因此评为 L4；不推断更大损失。

10 月 28 日更新： 维护者公告现将同一漏洞标记为 CVE-2026-117601，同时对应 GHSA-6jp4-8v48-cc5v。10 月 24 日披露日期和 Electrum 4.8.3 修复版本不变；公告未说明 CVE 何时加入。