Electrum poinformował w notatkach do wydania wersji 4.8.3 z 23 października 2026 r., że aktualizacja usuwa lukę umożliwiającą złośliwemu serwerowi zastąpienie świeżo rozgłoszonej transakcji i nakłonienie użytkownika do skorzystania z Replace-by-Fee. Dla użytkowników kluczowe jest ustalenie, czy podczas oczekiwania na potwierdzenie płatności wychodzącej, którą później próbowali przyspieszyć, korzystali ze starszej wersji portfela.

Co oficjalnie naprawia Electrum 4.8.3

Notatki do wydania Electrum w serwisie GitHub określają wersję 4.8.3 jako aktualizację bezpieczeństwa i precyzyjnie opisują zagrożenie: „Złośliwy serwer może zastąpić świeżo rozgłoszoną transakcję i próbować nakłonić użytkownika do wykonania RBF.” To najjaśniejsze oficjalne wyjaśnienie obecnej sytuacji i opis bardziej precyzyjny niż ogólne określenie przekierowania płatności.

W praktyce sformułowanie z notatek wskazuje na atak wymierzony w transakcję, która została już wysłana, lecz nadal czekała na potwierdzenie. Ryzyko nie wynikało z samego wysłania Bitcoina za pośrednictwem Electrum, lecz z nakłonienia użytkownika do utworzenia transakcji zastępczej po rozgłoszeniu pierwotnej płatności.

Dlaczego atak dotyczył transakcji oczekujących na potwierdzenie

Dokumentacja Electrum wskazuje, że portfel ufa serwerowi w kwestii transakcji niepotwierdzonych, podczas gdy transakcje potwierdzone są weryfikowane za pomocą SPV. Ta opisana granica zaufania pomaga wyjaśnić, dlaczego złośliwy serwer mógł mieć znaczenie przed potwierdzeniem pierwotnej płatności.

Ta sama dokumentacja podaje również, że Electrum zwykle utrzymuje połączenia z około 10 serwerami i wybiera jeden z nich jako serwer główny. Nie oznacza to, że każde połączenie z serwerem stwarza identyczne ryzyko w każdym scenariuszu, ale pokazuje, dlaczego informacje przekazywane przez serwer o oczekującej płatności mogą wpływać na to, co portfel wyświetla użytkownikowi przed potwierdzeniem.

Którzy użytkownicy powinni teraz sprawdzić ekspozycję

Główną grupą, która powinna przeprowadzić weryfikację, są użytkownicy wersji wcześniejszych niż 4.8.3, którzy mieli niepotwierdzoną transakcję wychodzącą, a następnie próbowali podnieść jej opłatę. Informacje o objętych problemem wersjach oraz zgłoszonych incydentach pochodzą z crypto.news, a nie bezpośrednio z przeanalizowanych notatek do wydania Electrum. Należy je więc traktować jako bieżące doniesienia, a nie oficjalne określenie zakresu wersji.

Natychmiastowe działania są proste. Po pierwsze, sprawdź, czy portfel działa już w wersji 4.8.3 lub nowszej. Po drugie, przejrzyj ostatnie wychodzące płatności Bitcoin, które nadal oczekiwały na potwierdzenie, gdy próbowano je przyspieszyć przez Replace-by-Fee, i przed zatwierdzeniem każdej transakcji zastępczej porównaj pełny adres docelowy oraz kwotę. To najbardziej praktyczna kontrola własna, jaką uzasadnia oficjalny opis wektora ataku przez Electrum oraz jego dokumentacja dotycząca transakcji niepotwierdzonych.

crypto.news podał również, że binaria wersji 4.8.3 do pobrania udostępniono 24 października 2026 r., po wpisie w notatkach do wydania z 23 października 2026 r. Pomaga to wyjaśnić, co uruchomiło publiczne doniesienia, ale pozostaje odrębną kwestią od oficjalnie sprawdzonej daty notatek do wydania Electrum.