比特币钱包漏洞被利用，通过加速手续费窃取资金

2026年10月26日，Bitcoin 钱包 Electrum 出现一个关键漏洞，允许恶意服务器通过利用加速费用机制来转移资金。据 CoinDesk 报道，至少有一名用户确认丢失了比特币，这凸显了在信任依赖于去中心化协议的生态系统中，第三方基础设施安全所带来的持续风险。 背景 Electrum 是最古老且使用最广泛的 Bitcoin 软件钱包之一，它依赖外部服务器网络来广播交易并检索支付历史。与自行验证所有区块链数据的 Bitcoin 全节点不同，Electrum 将此任务委托给第三方，这种方法优化了速度但引入了漏洞。与此同时，Bitcoin 网络在事件发生时处于中度拥堵状态，mempool 中有超过 43,000 笔待处理交易，三个区块内的确认平均费用为 0.135 satoshi 每字节 (sat/vB)。 10月26日披露的这一漏洞正值钱包安全压力日益增加的背景之下。在 MiCA（加密资产市场）法规的指导下，欧洲监管机构近期加强了对透明度和用户保护的要求。与此同时，数字资产市场表现相对稳定，根据 CoinDesk 的初步数据，Bitcoin 价格在 61,000 美元左右波动，随后 CryptoScore Pro 在发布当天将该数字修正为 80,053 美元。 事实 该漏洞已于 2026 年 10 月 24 日通过 Electrum 4.8.3 版本的发布被识别并修复，它利用了未确认交易管理中的一个缺陷。以下是归于相关来源的关键要素： 攻击方法 ：恶意服务器在合法交易广播到 Bitcoin 网络之前将其拦截。他们将其替换为欺诈版本，将资金发送到攻击者控制的地址，且该交易包含一个钱包未验证的无效签名。当用户尝试通过 Replace-by-Fee (RBF) 机制加速交易时，Electrum 验证了欺诈版本，从而将资金发送给攻击者（来源：CoinDesk，2026年10月26日）。 受害者与金额 ：开发人员在10月收到了两起报告。第一起发生在10月11日，涉及一个使用两个 Trezor 硬件设备的多重签名钱包（2/3）。尽管用户在设备上验证了合法交易，但钱包历史记录中出现了一笔不同的出账交易，不过未报告资金损失。第二起案例于10月18日报告，导致了资金被盗，但具体金额和恶意服务器的身份均未披露（来源：CoinDesk）。 修复方案与建议 ：Electrum 4.8.3 版本增加了对消耗钱包资金的未确认交易的签名验证。开发人员建议用户更新软件，并在签署交易前系统地检查接收地址和金额。仅连接到信任服务器（包括开发人员自己的服务器）的用户未受影响（来源：Electrum，2026年10月24日）。 根据 CryptoScore Pro 截至 2026年10月26日 05:19 UTC 的数据，Bitcoin 价格为 80,053 美元，24小时内下跌 0.96%，七天内下跌 2.97%，市值达 1.61 万亿美元。Crypto Fear & Greed 指数显示为 50/100 的中性评分。在漏洞披露后的数小时内，未观察到价格出现显著波动（来源：CryptoScore Pro）。 理解关键概念 Replace-by-Fee (RBF) Replace-by-Fee (RBF) 是 Bitcoin 协议的一项功能，允许用户用一个提供更高手续费的新版本来替换尚未确认的交易。当网络拥堵且矿工优先处理收益更高的交易时，此选项非常有用。例如，如果用户发送 0.01 BTC 且手续费为 10 sat/vB，但交易一直处于挂起状态，用户可以针对同一金额创建一笔手续费为 20 sat/vB 的新交易。矿工会被更高的报酬吸引，从而将后者包含在下一个区块中。 然而，这种灵活性也带来了风险。在 Electrum 的案例中，攻击者利用 RBF 诱导用户验证欺诈交易，通过将修改后的版本显示为“卡住”并需要加速。由于钱包未验证初始交易的真实性，导致攻击者能够转移资金。 Mempool 与网络拥堵 mempool （或“内存池”）是一个临时区域，Bitcoin 交易在此等待矿工确认。网络中的每个节点都维护自己的 mempool，其大小随拥堵情况而变化。当 mempool 饱和时（例如 2026 年 10 月 26 日有 43,420 笔交易在等待），用户必须提高手续费才能使交易被快速处理。 例如，如果三个区块确认的平均手续费为 0.135 sat/vB，那么手续费较低的交易可能会在等待队列中停留数小时甚至数天。这种动态给用户带来了调整手续费的压力，而这正是针对 Electrum 攻击中被利用的一点：攻击者将一笔欺诈交易伪装成“卡住”状态，以诱导用户通过 RBF 进行加速。 多重签名钱包 (multisig) 多重签名 （或 "multisig"）钱包需要多个签名才能授权交易，通过在多个参与方之间分配控制权来增强安全性。例如，一个 2-of-3 钱包要求三个私钥中的两个签署交易，该交易才有效。这种配置通常被企业或团体使用，以防止单个人员能够转移资金。 在向 Electrum 报告的第一起案例中，一个使用两个 Trezor 设备的 2-of-3 多签钱包被攻破。尽管用户在两个设备上都验证了合法交易，但恶意服务器进行的替换绕过了这一保护措施，这说明了当底层软件存在漏洞时，多签方案的局限性。 分析：关键问题 该漏洞的机制触及了软件钱包与比特币网络之间关系的核心。与全节点不同，Electrum 依赖第三方服务器来检索交易历史并广播付款。在修复之前，钱包对这些服务器持有隐式信任，而没有验证待处理交易签名的有效性。对于用户而言，欺诈行为仅在他们尝试通过“用手续费替换”（replace-by-fee）功能加速交易时才会显现，该功能允许用户将未确认的交易替换为手续费更高的版本。 到目前为止，经济影响仍然有限。根据 CryptoScore Pro 在 2026 年 10 月 26 日 05:19 UTC 的数据，BTC 交易价格为 80,053 美元，24 小时内下跌 0.96%，七天内下跌 2.97%，这并未反映出任何可归因于该事件的价格波动。ETH 在 24 小时内下跌 1.88%。此次攻击机制主要影响用户对中间件软件的信任，进而影响行业激励：那些被认为更安全的钱包，特别是依赖自有节点或经过审计代码的钱包，可能会从中获得相对优势。这仅是一个假设，而非经过测量的趋势。 风险与不确定性 仍有几点尚未得到确认。确切的受害者人数尚不清楚：开发人员在 10 月收到了两起报告，其中只有一起报告了资金损失，且被盗金额尚未披露。恶意服务器也尚未被识别。因此，CoinDesk 的报告无法评估此次漏洞利用的实际规模，也无法得知是否有其他用户在未报告的情况下受到影响。 主要风险涉及 10 月 24 日发布的 4.8.3 之前的版本，这些版本在连接到恶意服务器时仍然脆弱。此外，其他基于类似运行机制的软件也可能面临风险，但现有资料无法验证这一点。用户在签名前必须核对地址和金额，这一点尤为重要，因为攻击者生成了与合法目标地址最后四个字符相同的地址。 市场前景与监管 从市场角度来看，此次事件影响较小。根据 CryptoScore Pro 的数据，BTC 作为市值最高的资产（1.61 万亿美元），在同一日期的质量评分为 87.1/100，而 Crypto Fear & Greed 指数处于 50/100 的中立水平。现有数据未显示该报道与价格走势之间存在任何相关性。因此，市场似乎将此次事件视为操作风险而非系统性冲击。 在监管方面，资料中未提及监管机构的反应。欧盟的 MiCA 框架（主要监管加密资产服务提供商）并不直接针对此类自托管软件，且现有资料中未提及美国 SEC 的任何决定。因此，这些监管框架不应被解读为与此次事件相关。 要点总结 Electrum 钱包的一个漏洞允许恶意服务器在尝试通过“replace-by-fee”加速交易时替换待处理交易。 至少有一名用户确认丢失了资金，但总金额和受害者人数尚不明确。 2026年10月24日发布的 4.8.3 版本补丁修复了该漏洞，但旧版本在面对恶意服务器时仍然存在风险。 根据 CryptoScore Pro 的数据，BTC 在 2026年10月26日的价格为 80,053 美元，此次事件未引起明显的价格波动。 该事件凸显了依赖第三方服务器的风险，以及在签署付款前验证地址的重要性。