Electrum 4.8.3 — обновление безопасности: что делать владельцам биткоина

Electrum, один из старейших биткоин-кошельков, выпустил версию 4.8.3 и пометил её как обновление безопасности — с исправлениями по отчётам четырёх сторонних исследователей. Заметки к релизу датированы 23 октября 2026 года, а подписанные сборки появились на сервере загрузок 24 октября. По данным ChainCatcher, разработчики призвали всех пользователей обновиться и пообещали раскрыть детали позже.

Что изменилось

В заметках благодарят исследователей dannydeezy, tokenistq, Raju-K12 и Amadeus29. Какое именно изменение закрывает какой отчёт, команда не уточняет, но в списке есть ряд усилений защиты:

• Плагины: более строгая проверка метаданных, а ZIP-плагины теперь загружаются именно из тех байтов, подпись которых проверена.
• Lightning: более строгий разбор инвойсов BOLT11, дополнительные проверки входящих платежей перед открытием экспериментального just-in-time-канала и исправление состояния гонки, из-за которого кошелёк мог пропустить ончейн-резервные копии каналов.
• Подпись: Electrum больше не подписывает вход, у которого уже есть witness, а разбор дескрипторов и путей BIP32 стал строже.
• Интерфейс: форматированный (rich-text) вывод строк теперь отключён по умолчанию.
• Сертификаты: обновлены пакеты сертификатов, чтобы перестать доверять отозванному корневому сертификату eMudhra/emSign — того самого центра, о слабых ключах которого мы писали на этой неделе.

Кроме того, добавлен mempool.space как источник курсов и исправлен ряд сбоев на Android.

Третий релиз безопасности с августа

Версии 4.8.1 (август) и 4.8.2 (11 сентября) тоже были помечены как обновления безопасности; 4.8.2 исправила резервные копии Lightning, в которых мог отсутствовать ключ для возврата средств из anchor-каналов. Если вы пользуетесь Lightning в Electrum, прочитайте, как работает Lightning Network, — так проще понять, почему резервные копии каналов важны.

Как безопасно обновиться

• Скачивайте только с electrum.org (или из Google Play / F-Droid на Android) и проверяйте GPG-подпись. Текущие сборки подписали ThomasV, SomberNight и ещё двое сборщиков.
• Игнорируйте предложения «обновиться» в окне приложения, письмах или рекламе. В 2018–2019 годах злоумышленники запускали вредоносные серверы Electrum, которые показывали поддельные сообщения об обновлении со ссылкой на вирус.
• Обновление не меняет файл кошелька или сид-фразу, и ни один легальный сервис её не попросит.
• Для крупных сумм стоит связать Electrum с аппаратным кошельком, чтобы ключи никогда не хранились на компьютере.

Релиз вписывается в более широкую тенденцию: Bitcoin Core только что переписал правила раскрытия уязвимостей, потому что ИИ-инструменты упрощают поиск багов.