大多數 $Bitcoin 盜竊事件都需要您的助記詞，但這起事件並非如此。由於 Electrum——其中一款最古老的比特幣錢包——存在漏洞，惡意伺服器能夠將待處理的付款替換為偽造付款，然後等待您執行一項完全常規的操作：加速交易。當您批准較高手續費的瞬間，您實際上簽署了攻擊者的交易，而非您自己的交易。在 10 月 24 日修復補丁上線前，至少有一名用戶損失了資金。以下是事件經過，以及為何即使您從未使用過 Electrum，這也至關重要。
比特幣手續費提升陷阱是如何運作的？
像 Electrum 這樣的輕量級錢包不會下載整個區塊鏈。它們會向外部伺服器查詢您的交易記錄和支付廣播。已確認的交易會與區塊鏈進行核對，但未確認的交易則僅依賴錢包所連接的主伺服器所提供的資訊。
這個缺口就是突破口。運行其中一台伺服器的攻擊者可以在付款到達網路前攔截它，然後向錢包提供一個偽造版本。在至少一例中，偽造交易將您的幣轉至攻擊者控制的地址，且該地址的最後四位字元與真實收款人相同，並附帶極低的手續費，導致交易永遠無法確認。錢包卻將其顯示為合法的待處理付款。
接著，陷阱出現了。一筆被卡住的交易自然會促使用戶使用「以費用替代」（Replace-by-Fee），這是比特幣用於加速緩慢付款的標準功能。在 Electrum 中，提高費用意味著重新簽署歷史記錄中顯示的交易。由於該交易屬於攻擊者，簽署有效，資金被轉移，而盜竊行為看起來就像一筆正常的費用增加。
誰受到了 Electrum 漏洞的影響？
Electrum 於 10 月 24 日披露了此問題，並確認部分伺服器正在積極利用該漏洞。第一份報告來自一位使用雙重簽名（2-of-3）多簽錢包並搭配兩個硬體錢包的用戶，該用戶於交易紀錄中發現一筆異常的轉出交易，但並未損失資金。第二位用戶則沒那麼幸運。開發團隊尚未披露被盜金額或點名涉事伺服器。
僅連接到自己伺服器或可信任伺服器的使用者從未受到影響。所有運行低於 4.8.3 版本的其他使用者，只要錢包連接到惡意伺服器，仍處於風險中。
Electrum 4.8.3 的修復帶來了哪些改變？
版本 4.8.3 增加了對從您自己的錢包支出的未確認交易的簽名檢查。伺服器再也無法將無效交易插入您的交易歷史，並讓錢包將其顯示為真實交易。請僅從 electrum.org 下載更新，切勿從錢包內彈出視窗或訊息中的連結下載。2019 年，Electrum 用戶就曾遭遇此類偽更新提示，當時惡意伺服器盜取了超過 $4.6 百萬。
如何保護您的比特幣錢包免受此類攻擊
這堂課超越了單一錢包。任何信任第三方提供未確認資料的軟體都有相同的弱點，因此有幾種習慣值得保持：
- 將每次費用增加視為一筆新交易。請在簽名畫面上核對完整的收款地址和數量，而不僅僅是最後幾個字符。
- 請在裝置上確認。如果您使用硬體錢包，請在該裝置的顯示屏上核實收款地址。多簽用戶正是因為硬體錢包顯示的內容不同而察覺了這次攻擊。
- 優先使用您自己的節點或您控制的伺服器。只有當陌生人向您的錢包提供其歷史記錄時，此攻擊才會生效。
- 保持錢包軟體為最新版本，並在可能的情況下使用開發者的簽名驗證下載。
自我保管讓您掌控安全，這包括那些枯燥的步驟。花三十秒檢查地址，仍是加密貨幣中最便宜的保險。您可以在我們的價格頁面追蹤目前的Bitcoin price和整體市場。