エレクトラムは2026年10月23日付の4.8.3リリースノートで、送信直後の取引を置き換え、ユーザーをReplace-by-Fee（RBF）操作へ誘導しようとする悪意あるサーバー攻撃に対するセキュリティ修正だと説明した。利用者にとって当面の焦点は、保留中の送金を後から加速しようとした際、古いウォレット版を使っていたかどうかだ。

エレクトラム4.8.3が公式に修正した内容

エレクトラムのGitHubリリースノートは、バージョン4.8.3をセキュリティアップデートとして掲載し、脅威を「Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it.」と具体的に説明している。これは今回の事象に関する最も明確な公式説明であり、「支払いのリダイレクト」といった広範な表現より正確だ。

実際には、リリースノートの記述は、すでに送信されたものの、なお承認待ちだった取引を狙う攻撃を示している。リスクは単にエレクトラムからビットコインを送ることではなく、元の支払いがブロードキャストされた後に、置換取引へ誘導される点にあった。

なぜ未承認取引で攻撃が成立したのか

エレクトラムの文書によると、未承認取引についてはサーバーを信頼する一方、承認済み取引はSPVで検証する。この文書化された信頼境界は、元の支払いが承認される前に悪意あるサーバーが影響を及ぼし得た理由を説明する。

同じ文書では、エレクトラムが通常約10台のサーバーへの接続を維持し、そのうち1台をメインサーバーとして選択すると説明している。これは、どの手順でも各サーバー接続が同じリスクを生むことを意味しない。ただし、保留中の支払いに関するサーバー提供情報が、承認前にウォレットがユーザーへ表示する内容を左右し得ることは示している。

今、影響の有無を確認すべき利用者

主に確認が必要と報じられているのは、4.8.3より前のバージョンを使用し、未承認の送金後に手数料の引き上げを試みた利用者だ。この影響バージョンに関する情報と実際の事案の報告は、確認したエレクトラムのリリースノートそのものではなくcrypto.newsによるものだ。したがって、公式な影響範囲の説明ではなく、現時点の報道として受け止める必要がある。

直ちに行う確認は簡単だ。まず、ウォレットがすでに4.8.3以降へ更新されているかを確認する。次に、Replace-by-Feeで加速しようとした時点で未承認だった最近のビットコイン送金を確認し、置換取引を承認する前に送付先アドレス全体と金額を照合する。これは、エレクトラムが公式に説明した攻撃経路と未承認取引に関する文書に裏付けられた、最も実践的な自己点検となる。

crypto.newsはまた、2026年10月23日のリリースノート掲載後、ダウンロード可能な4.8.3のバイナリが2026年10月24日に公開されたと報じた。これは報道が広がる契機の説明にはなるが、エレクトラムで確認された公式リリースノートの日付とは別の情報だ。