何が起きたか
クライアントが送信した取引を悪意ある Electrum サーバーが握りつぶし、出力先を攻撃者のアドレスに差し替えた別の（署名が無効な）取引を未承認取引として履歴に表示させられます。利用者がその取引を RBF で手数料上乗せすると、正しく署名された取引として攻撃者に送金してしまいます。実際にこの攻撃を行っているサーバーがあり、送金を失った利用者の報告があります。
やること
4.8.3 へ更新します。すぐ更新できない場合は、手数料の上乗せを含めて取引に署名する前に、出力先アドレスと金額が意図どおりか必ず確認してください。自分で運用するなど信頼できるサーバーにだけ接続している場合は影響を受けません。
出典
GitHub Advisory Database（GHSA-6jp4-8v48-cc5v）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。