25 октября 2026 года разработчики Bitcoin выпустили патч, закрывающий вектор атаки через механизмы ускорения транзакций — Replace-by-Fee (RBF) и Child-Pays-for-Parent (CPFP). Уязвимость не была связана с компрометацией приватных ключей; риск находился на уровне ретрансляции и политики мемпула, где злоумышленник мог манипулировать неподтвержденными транзакциями.
Параллельно команда кошелька Electrum раскрыла критическую проблему в версиях до 4.8.3. Вредоносные серверы могли перехватывать исходящий платеж и подменять его фейковой транзакцией на адрес атакующего. Для обхода беглой проверки использовались адреса с теми же последними четырьмя символами, что у настоящего получателя. Атака срабатывала, когда пользователь пытался повысить комиссию через RBF: вместо исходной транзакции жертва могла подписать поддельную.
Один пользователь уже потерял средства. Первый сигнал поступил 11 октября от dannydeezy, а 18 октября Raju-K12 сообщил о потере средств после одобрения увеличения комиссии. Уязвимость отслеживается как GHSA-6jp4-8v48-cc5v, исправление внесено в коммите 90fe308. Версия 4.8.3 теперь проверяет подписи неподтвержденных транзакций, тратящих средства кошелька, и не допускает фейковые операции в историю.
Операторам нод и платежных сервисов рекомендуется считать обновление обязательным, а не опциональным. Наибольшие риски сохраняются сразу после публикации патча, пока инфраструктура не обновилась. Lightning-ноды также зависят от своевременной ретрансляции транзакций, поэтому им необходимо проверить совместимость обновлений и протестировать их в staging-среде.
Пользователям Electrum следует загружать версию 4.8.3 только с electrum.org и проверять криптографические подписи. До обновления необходимо перепроверять адреса и суммы при каждом подписании, включая смену комиссии. Разработчики подчеркивают: базовая криптография Bitcoin, proof-of-work и модель UTXO не пострадали.
