rbf

ChainCatcher 消息，据 Bitcoin News 监测，Electrum 于 2026 年 10 月 24 日发布 4.8.3 版本，修复一项已被用于真实攻击的安全漏洞。恶意服务器可向用户展示伪造交易，并在用户尝试通过替代手续费（RBF）加快交易时，诱导其签署向攻击者地址付款的交易；攻击者无需获取用户私钥。Electrum 称已收到两起相关报告，其中一名用户在提高手续费后损失比特币，并建议用户更新至 4.8.3 版本。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。用户对交易做常规加费时，可能把资金签给攻击者。开发者称，起因是用户报告在签署加费后损失资金。两份报告结果不同：一人广播付款后发现钱包历史中的交易被替换，并称原付款未进入比特币点对点网络、被服务器扣留；另一人 Raju-K12 对替换后的交易加费并损失资金。攻击中，恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成攻击者地址。该替换交易当时签名无效，但轻客户端展示未确认交易前未核对这些签名；用户通过 RBF 手动加费并签名后，攻击者收款生效。两人均称攻击者地址与合法收款地址末四位相同。公告未公布被盗金额、交易标识或攻击者地址。补丁对应提交 90fe308，在把内存池交易写入本地历史前，核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证。公告建议未升级用户在每次签名时核对输出地址与金额；连接自有或可信服务器的客户端不受此攻击影响。时间线上，10 月 11 日首次私下披露，10 月 18 日收到加费损失报告，修复版本于 10 月 23 日打标签，二进制与公开披露在 10 月 24 日。

ChainCatcher 消息，据 BeInCrypto 报道，一名比特币用户因自动化脚本失控，在区块 962,142 中支付了 1.6 BTC（约 10.28 万美元）手续费，而实际转账金额为零。该用户运行的自动化脚本启用了 Replace-by-Fee（RBF）功能，脚本每秒自动提高手续费出价，最终将钱包内全部余额耗尽。矿池 SpiderPool 挖出该区块并收获这笔意外收益，该笔手续费占该区块总手续费（约 1.82 BTC）的 88%

ChainCatcher 消息，据 CoinDesk 报道，比特币开发者正讨论从 Bitcoin Core 钱包中移除显式 Replace-by-Fee（RBF）信号。开发者 rkrux 表示，由于 full-RBF 已成为标准策略，BIP 125 RBF 信号已变得冗余，并可能留下不必要的钱包链上指纹。 社区成员 Murch 称，停止发送可替换性信号并非简单去除“指纹”，因为每个发送方仍必须为每个输入选择序列号；目前约 75% 的交易已使用特定序列号，主要为 MAX-2。rkrux 表示，默认输入序列号应采用更广泛钱包社区认可的最佳做法。

ChainCatcher 消息，Magic Eden 在社交平台上表示，为符文和铭文引入 Mempool Protection，更多 RBF 功能即将推出。 据悉，当用户的交易被替换/拦截，Mempool Protection 会自动以更高的费率为用户广播额外的交易。但该功能不能完全防止狙击，链上狙击者仍然可以替换用户的交易，但这一功能可以降低被狙击的机会，并增加狙击手的成本。

链捕手消息，据慢雾安全提醒，Filecoin 出现“双花交易”，多家交易所关闭 FIL 充值通道。慢雾安全团队对相关信息分析发现，这是一起 Filecoin 的 RBF 假充值攻击事件而非”双花攻击“。攻击者预先发送一笔低 gas-feecap 的交易，然后通过提高 gas-premium 和 gas-feecap 替换原交易（RBF 交易），此时 RBF 交易优先被打包上链，旧交易被丢弃，但是由于 Filecoin lotus RPC 有一个特性，在查询旧交易的执行状态时（使用 lotus state exec-trace 命令或者通过 REST 接口 Filecoin.StateGetReceipt 获取）返回的是 RBF 交易的执行状态，导致交易所对两笔交易重复入账。 慢雾安全团队提醒交易所及相关钱包方，在充值入账时，需要对比查询返回结果中的 cid 与查询的 cid 是否一致，并配合 ChainGetParentMessages 和 ChainGetParentReceipts 等接口进行查询对比，避免重复入账。与此前慢雾区发现的假充值攻击不同的是，此次攻击方法更加隐蔽，是由

据BitMEX Research推特，比特币在区块高度666,833出现陈腐区块（stale block），SlushPool和F2Pool所各自挖出的区块在更长链竞争中，SlushPool挖出的区块获胜。 在输掉的区块中，0.00062063 BTC发送至1D6aebVY5DbS1v7rNTnX2xeYcfWM3os1va；而获胜链中一笔使用相同输入的交易仅向该地址发送了0.00014499 BTC。 BitMEX Research推特更新表示，经过仔细检查，0.0006 BTC很可能是RBF的一个实例，在该实例中，较低费用的交易获胜了。 据悉，RBF方案是由加拿大比特币核心开发者Peter Todd提出的费用替代法（RBF）工具：如果同一个地址发起两笔交易，则手续费更高的交易胜出，采纳RBF费用替代法本来是为了提供给比特币用户一个快速交易的选择，但它其中一个不好的影响是让零确认的交易变得容易被双花。 就在去年11月3日，BTC网络在高度为655191出现陈腐区块，但其系统未发现任何重复支出。 注：陈腐区块是比特币链上同一个父块，已经有另外一个区块被创建出来之后，又被创建的