Electrum 4.8.3 — оновлення безпеки: що робити власникам біткоїна

Electrum, один із найстаріших біткоїн-гаманців, випустив версію 4.8.3 і позначив її як оновлення безпеки — з виправленнями за звітами чотирьох незалежних дослідників. Нотатки до релізу датовані 23 жовтня 2026 року, а підписані збірки з'явилися на сервері завантажень 24 жовтня. За даними ChainCatcher, розробники закликали всіх користувачів оновитися й пообіцяли розкрити подробиці пізніше.

Що змінилося

У нотатках подякували дослідникам dannydeezy, tokenistq, Raju-K12 та Amadeus29. Яка саме зміна закриває який звіт, команда не уточнює, але в списку є низка посилень захисту:

• Плагіни: суворіша перевірка метаданих, а ZIP-плагіни тепер завантажуються саме з тих байтів, підпис яких перевірено.
• Lightning: суворіший розбір інвойсів BOLT11, додаткові перевірки вхідних платежів перед відкриттям експериментального just-in-time-каналу та виправлення стану гонитви, через який гаманець міг пропустити ончейн-резервні копії каналів.
• Підпис: Electrum більше не підписує вхід, який уже має witness, а розбір дескрипторів і шляхів BIP32 став суворішим.
• Інтерфейс: форматований (rich-text) показ рядків тепер вимкнено за замовчуванням.
• Сертифікати: оновлено пакети сертифікатів, щоб перестати довіряти відкликаному кореневому сертифікату eMudhra/emSign — того самого центру, про слабкі ключі якого ми писали цього тижня.

Також додано mempool.space як джерело курсів і виправлено низку збоїв на Android.

Третій безпековий реліз від серпня

Версії 4.8.1 (серпень) і 4.8.2 (11 вересня) теж мали позначку оновлення безпеки; 4.8.2 виправила резервні копії Lightning, у яких міг бракувати ключа для повернення коштів з anchor-каналів. Якщо користуєтеся Lightning в Electrum, прочитайте, як працює Lightning Network, — так легше зрозуміти, чому резервні копії каналів важливі.

Як безпечно оновитися

• Завантажуйте лише з electrum.org (або Google Play / F-Droid на Android) і перевіряйте GPG-підпис. Поточні збірки підписали ThomasV, SomberNight і ще двоє збирачів.
• Ігноруйте пропозиції «оновитися» у вікні застосунку, листах чи рекламі. У 2018–2019 роках зловмисники запускали шкідливі сервери Electrum, які показували фальшиві повідомлення про оновлення з посиланням на вірус.
• Оновлення не змінює файл гаманця чи сід-фразу, і жоден легальний сервіс її не попросить.
• Для більших сум варто поєднати Electrum з апаратним гаманцем, щоб ключі ніколи не зберігалися на комп'ютері.

Реліз вписується в ширшу тенденцію: Bitcoin Core щойно переписав правила розкриття вразливостей, бо ШІ-інструменти полегшують пошук багів.