Stand: 28. Oktober 2026.
Electrum 4.8.3 schließt eine Sicherheitslücke, durch die eine höhere Bitcoin-Gebühr zu einer Zahlung an einen Angreifer führen kann. Die am 24. Oktober veröffentlichte Warnung betrifft Versionen vor 4.8.3. Ein bösartiger Server kann die angezeigte Historie unbestätigter Transaktionen manipulieren und den Nutzer anschließend dazu bringen, die falsche Transaktion zu signieren.
Wichtig sind deshalb das Update aus offizieller Quelle und die Prüfung von Empfängern und Beträgen vor jeder neuen Signatur. Daraus folgt weder, dass sämtliche Electrum-Wiederherstellungsphrasen gestohlen wurden, noch dass Bitcoin Transaktionen mit ungültigen Signaturen akzeptiert.
Electrum 4.8.3: Welche Installationen zu prüfen sind
Die Sicherheitsmeldung GHSA-6jp4-8v48-cc5v stuft die Lücke als schwerwiegend ein und nennt 4.8.3 als korrigierte Version. Die Zeitleiste unterscheidet den Software-Tag vom 23. Oktober von der Veröffentlichung der Binärdateien und der Warnung am 24. Oktober: Das sind unterschiedliche Schritte derselben Veröffentlichung.
Wer eine ältere Installation verwendet, sollte zunächst die Version des tatsächlich laufenden Programms prüfen. Der Name einer Desktop-Verknüpfung genügt nicht: Eine alte portable Datei und eine aktuelle Installation können auf demselben Rechner nebeneinander vorhanden sein.
Damit lässt sich auch falsche Sicherheit vermeiden. Ein heruntergeladenes Update ist nicht automatisch installiert, und die Wallet muss anschließend tatsächlich mit der neuen Fassung geöffnet werden. Für die Kontrolle der Programmversion muss niemand seine Wallet-Datei weitergeben.
Warum eine unbestätigte Transaktion täuschen kann
Electrum ist ein leichtgewichtiger Client. Die FAQ zur Vertrauensstellung der Server erläutert, dass der Hauptserver Informationen zu unbestätigten Transaktionen liefert und ausgehende Zahlungen weiterleitet. Ein Eintrag in der angezeigten Historie ist somit nicht zwangsläufig mit einer bereits in einem Block überprüften Transaktion gleichzusetzen.
Im beschriebenen Fall hält der Server die ursprüngliche Zahlung zurück und zeigt der Wallet eine konkurrierende Transaktion mit anderem Ziel. Diese zunächst angezeigte Variante besitzt nicht die gültigen Signaturen, die zum Ausgeben erforderlich wären. Gefährlich wird die spätere Freigabe des Nutzers bei der Gebührenerhöhung.
Der Unterschied ist wesentlich: Eine bestätigte Blockchain-Transaktion wird nicht nachträglich umgeschrieben. Stattdessen verändert der Angreifer die Entscheidungsgrundlage beim Signieren und missbraucht eine Funktion, die eigentlich eine langsame Zahlung beschleunigen soll.
Was vor einer Gebührenerhöhung zu kontrollieren ist
Replace-by-Fee, kurz RBF, erlaubt eine Ersatztransaktion mit höherer Gebühr. Unser Beitrag über RBF und CPFP bei festhängenden Zahlungen behandelt den normalen Einsatz. Hier geht es dagegen um eine konkrete Wallet-Schwachstelle, nicht darum, dass jede Ersatztransaktion unsicher wäre.
| Prüfung | Hilfreiche Frage |
|---|---|
| Version | Läuft das aktualisierte Programm oder wurde es nur heruntergeladen? |
| Empfänger | Entspricht die vollständige Adresse dem vereinbarten Ziel? |
| Betrag | Sind Zahlung und neue Gebühr nachvollziehbar? |
| Wechselgeld | Lassen sich die weiteren Ausgänge erkennen und erklären? |
| Signatur | Gebe ich tatsächlich die beabsichtigte Zahlung frei? |
Nur die letzten Zeichen einer Adresse zu vergleichen, reicht nicht aus. Als Vergleichsgrundlage dient die vollständige Adresse aus der ursprünglichen Zahlungsanforderung über einen vertrauenswürdigen Kanal, nicht ein Ersatzvorschlag aus derselben verdächtigen Nachricht.
Hat sich das Ziel verändert oder bleibt ein Ausgang unverständlich, sollte die Signatur abgebrochen werden. Eine weitere Gebührenerhöhung löst keinen noch ungeklärten Fehler: Höhere Gebühren machen eine falsche Empfängeradresse nicht rechtmäßig oder richtig.
Das Update beziehen, ohne auf Phishing hereinzufallen
Die offizielle Electrum-Website stellt die aktuelle Fassung bereit und betont die Signaturprüfung. Installationsdateien aus privaten Nachrichten, Werbeanzeigen oder Pop-ups mit angeblich dringender Wallet-Wiederherstellung sind kein verlässlicher Updateweg.
Die offizielle GPG-Anleitung dient zur Echtheitsprüfung einer heruntergeladenen Datei. Das ist etwas anderes als eine Bitcoin-Transaktion zu signieren: Die erste Prüfung authentifiziert Software, die zweite Handlung autorisiert eine Ausgabe.
Die Wiederherstellungsphrase gehört niemals auf eine Website, die eine angebliche Schwachstellenprüfung anbietet. Unser Artikel zum Schutz der Seed Phrase erklärt, weshalb auch ein Supportdienst diese nicht erhalten darf. Eine solche Aufforderung erzeugt ein zusätzliches Risiko statt das Programm zu aktualisieren.
Was die Korrektur ändert und was nach einer Signatur gilt
Die Rolle des Servers bleibt auch nach dem Update wichtig. Die Sicherheitsmeldung nimmt Verbindungen zu tatsächlich vertrauenswürdigen Servern, etwa einem eigenen, von diesem Angriffsszenario aus. Eine andere öffentliche Serveradresse auszuwählen, belegt deren Vertrauenswürdigkeit jedoch nicht.
Ein Serverwechsel sollte deshalb nicht dazu dienen, mit alter Software einfach weiterzumachen. Für normale Nutzer bleiben das offizielle Update und die Kontrolle der Zahlungsdaten der praktische Weg.
Einen eigenen Server zu betreiben, ist eine Infrastrukturentscheidung mit eigenen Pflichten, keine Notfallmaßnahme, die während einer Überweisung improvisiert werden sollte. Eine scheinbar funktionierende Verbindung bescheinigt für sich genommen nicht die Ehrlichkeit des entfernten Dienstes.
Der Korrektur-Commit ergänzt Signaturprüfungen für Wallet-eigene Eingänge unbestätigter Transaktionen. Electrum wird dadurch nicht zu einem vollständigen Knoten, der jede eingehende Transaktion vollständig validiert. Die Korrektur hat einen klar umrissenen Umfang.
Das Update macht eine bereits autorisierte Zahlung nicht rückgängig und garantiert keine Rückholung versendeter Bitcoin. Bei Verdacht sollten Transaktionskennung und nicht geheime Informationen gesichert, weitere Signaturen ausgesetzt und zuerst der tatsächliche Status geklärt werden. Dienste, die sichere Rückholung gegen Vorkasse versprechen, verdienen besonderes Misstrauen.
Electrum 4.8.3 behebt die dokumentierte Schwachstelle. Softwareprüfung und Zahlungsprüfung bleiben dennoch getrennte Aufgaben: Ein korrektes Installationspaket bestätigt nicht automatisch die Richtigkeit jeder späteren Freigabe. Eine ruhige, nachvollziehbare Kontrolle ist hilfreicher als ein hektischer Transfer an eine angeblich sichere Ersatzadresse.
Für diesen Artikel wurden weder ein Angriff noch eine Installation oder eine Wiederherstellung getestet. Die Hinweise beruhen auf offiziellen Quellen und bescheinigen nicht die Sicherheit eines bestimmten Geräts. Ebenso wenig lässt sich aus einem Versionswechsel allein ableiten, ob eine frühere verdächtige Zahlung tatsächlich korrekt war.