วิธีอัปเดต Electrum ให้ปลอดภัยหลังช่องโหว่ RBF 2026 — เช็ค GPG Signature และเซิร์ฟเวอร์ก่อนเสียเงินจริง

26 ตุลาคม 2026

0

📌 คำตอบสั้น: Electrum ออกแพตช์ 4.8.3 หลังมีผู้เสียเงินจริงจากช่องโหว่กด RBF นี่คือวิธีอัปเดตและป้องกันให้ปลอดภัยครบ (ข้อมูล ณ 26 ต.ค. 2569)

เดือนตุลาคม 2569 มีผู้ใช้ Electrum Wallet เสียเงินจริงอย่างน้อย 1 รายจากช่องโหว่ที่ไม่มีใครคาดคิด — ไม่ใช่โดนฟิชชิง ไม่ใช่กรอก Seed ผิดที่ แต่โดนหลอกตอนกด “เพิ่มค่าธรรมเนียม” (RBF) ธุรกรรมของตัวเองนี่แหละ ทีม Electrum ออกแพตช์ฉุกเฉินเวอร์ชัน 4.8.3 ปิดช่องโหว่นี้ไปแล้ว แต่สิ่งที่หลายคนไม่รู้คือ แพตช์นี้ไม่ได้ปิดช่องโหว่ทั้งหมด — ยังมีจุดที่ต้องระวังด้วยตัวเองอยู่ดี

บทความนี้จะพาทำทีละขั้น: อัปเดตให้ถูกวิธี (พร้อมเช็ค GPG signature กันโดนหลอกดาวน์โหลดไฟล์ปลอม) เช็คว่ากำลังต่อเซิร์ฟเวอร์ไหนอยู่ ไปจนถึงวิธีป้องกันช่องโหว่ส่วนที่แพตช์ยังไม่ครอบคลุม

ช่องโหว่คืออะไร ทำไมอัปเดตแล้วยังต้องระวัง

Electrum เป็น “light wallet” — ไม่เก็บสำเนาบล็อกเชนทั้งหมดไว้เอง แต่พึ่งพาเซิร์ฟเวอร์ภายนอกส่งข้อมูลธุรกรรมให้ นี่คือจุดที่ถูกใช้โจมตี:

ขั้นตอน	สิ่งที่เกิดขึ้นจริง
1. ส่งธุรกรรมจริง	ผู้ใช้ตรวจที่อยู่ปลายทางถูกต้อง กด Broadcast ส่งธุรกรรม (tx1) ออกไป
2. เซิร์ฟเวอร์ปลอม “กลืน” ธุรกรรม	เซิร์ฟเวอร์อันตรายไม่กระจาย tx1 ออกเครือข่ายจริง แต่ยัดธุรกรรมปลอม (tx2) ที่เปลี่ยนที่อยู่ปลายทางเป็นของแฮกเกอร์เข้าประวัติแทน
3. ลายเซ็นปลอมไม่ถูกเช็ค (ก่อนแพตช์)	tx2 มีลายเซ็นไม่ถูกต้อง แต่ไคลเอนต์รุ่นเก่าไม่ตรวจสอบ จึงแสดงเป็น “รอยืนยัน” ตามปกติ
4. ผู้ใช้กด RBF เพิ่มค่าธรรมเนียม	เข้าใจว่าเร่งธุรกรรมตัวเอง แต่จริงๆคือเซ็นยืนยันโอนเงินให้แฮกเกอร์ทันที

กลเม็ดที่ทำให้เหยื่อไม่ทันสังเกต (ยืนยันจาก GitHub Security Advisory ตรง):

แฮกเกอร์สุ่มสร้างที่อยู่ปลายทางปลอมให้ 4 ตัวอักษรสุดท้ายตรงกับที่อยู่จริง — เหลือบดูผ่านๆจะดูเหมือนถูกต้อง
บางเคสตั้งค่าธรรมเนียมธุรกรรมปลอมไว้ที่ 0 เพื่อ “ยั่ว” ให้เหยื่อกดเพิ่มค่าธรรมเนียมเอง

⚠️ จุดที่คนมักเข้าใจผิดว่าอัปเดตแล้ว = ปลอดภัย 100%

ทีม Electrum ระบุไว้ตรงๆในตัวแพตช์ว่า เวอร์ชัน 4.8.3 ตรวจลายเซ็นเฉพาะธุรกรรม “ขาออก” ที่ใช้เหรียญของกระเป๋าตัวเอง (is_mine inputs) เท่านั้น ธุรกรรม “ขาเข้า” ที่ยังไม่ยืนยัน (unconfirmed incoming) ยังไม่ถูกตรวจสอบแบบเดียวกัน เพราะไคลเอนต์ light wallet ไม่มี consensus engine เต็มรูปแบบที่จะไล่ตรวจธุรกรรมต้นทางซ้อนกันได้ทั้งหมด พูดง่ายๆคือ อัปเดตแล้วปลอดภัยขึ้นมากในสถานการณ์ส่งเงินออก/RBF แต่ยังต้องระวังเรื่อง “เงินเข้าที่ยังไม่ confirm” อยู่ดี

ไทม์ไลน์เหตุการณ์จริง

วันที่ 2569	เหตุการณ์
11 ต.ค.	ผู้ใช้รายแรกแจ้งทีม Electrum แบบส่วนตัวว่าเจอธุรกรรมในประวัติไม่ตรงกับที่ส่งไปจริง (ยังไม่รู้ว่าเกี่ยวกับ RBF)
18 ต.ค.	ผู้ใช้รายที่สอง (Raju-K12) แจ้งว่าเสียเงินจริงหลังกดเพิ่มค่าธรรมเนียม ยืนยันเส้นทางโจมตีชัดเจน
23 ต.ค.	ทีม Electrum ปิดช่องโหว่ในโค้ด แท็กเวอร์ชัน 4.8.3
24 ต.ค.	ปล่อยไฟล์ติดตั้ง 4.8.3 พร้อมเปิดเผยช่องโหว่ต่อสาธารณะ (GHSA-6jp4-8v48-cc5v)

ขั้นที่ 1: เช็คเวอร์ชันปัจจุบันก่อน

เปิด Electrum ขึ้นมา
ดูที่แถบหัวโปรแกรม (title bar) หรือเข้า Help > About
ถ้าเห็นเลขเวอร์ชันต่ำกว่า 4.8.3 = ต้องอัปเดตด่วน ไม่ว่าจะเคยกด RBF หรือไม่ก็ตาม (ช่องโหว่กระทบการแสดงผลธุรกรรมที่ยังไม่ยืนยันทั้งหมด ไม่ใช่แค่ตอนกด RBF)

ขั้นที่ 2: ดาวน์โหลดเวอร์ชันใหม่จากแหล่งทางการเท่านั้น

ดาวน์โหลดได้ที่ electrum.org เท่านั้น (ห้ามเสิร์ชแล้วกดลิงก์โฆษณา/เว็บมิเรอร์ที่ไม่คุ้นเคย — เคสปลอมเว็บ Electrum หลอกขโมย Seed เคยเกิดมาแล้วหลายรอบในอดีต)

ระบบปฏิบัติการ	ไฟล์ที่ต้องโหลด
Windows	Windows Installer (electrum-4.8.3-setup.exe) หรือ Standalone Executable
macOS	ไฟล์ .dmg สำหรับ Mac ที่หน้า Download
Linux	AppImage (x86_64, glibc 2.31+) หรือติดตั้งผ่าน pip จาก source .tar.gz

ขั้นที่ 3: เช็ค GPG Signature ก่อนติดตั้ง (ขั้นที่คนส่วนใหญ่ข้าม)

ไฟล์ติดตั้งของ Electrum ทุกตัวมีไฟล์ลายเซ็นแยก (.asc) ให้ตรวจสอบว่าไฟล์ไม่ถูกแก้ไข/สวมรอยระหว่างทางดาวน์โหลด ทีมงานยืนยันว่า build ปัจจุบันเซ็นโดยนักพัฒนาหลัก 5 คน (ThomasV, SomberNight, Emzy, felixb_f321x, svanstaa)

โหลดไฟล์โปรแกรม (เช่น electrum-4.8.3-setup.exe) และไฟล์ลายเซ็นคู่กัน (electrum-4.8.3-setup.exe.asc) จากหน้า download เดียวกัน
โหลด public key ของผู้เซ็น (ลิงก์อยู่ใต้ชื่อแต่ละคนในหน้า download เช่น ThomasV.asc)
Import key: gpg --import ThomasV.asc
ตรวจลายเซ็น: gpg --verify electrum-4.8.3-setup.exe.asc electrum-4.8.3-setup.exe
ต้องเห็นคำว่า “Good signature” จึงติดตั้งต่อได้ ถ้าเจอ “BAD signature” หรือ key ไม่ตรง ห้ามติดตั้งเด็ดขาด ไฟล์อาจถูกแก้ไขระหว่างทาง

ขั้นที่ 4: เช็คว่ากำลังต่อเซิร์ฟเวอร์ไหนอยู่

ต้นตอของช่องโหว่นี้คือเซิร์ฟเวอร์สาธารณะที่เป็นอันตรายแทรกอยู่ในเครือข่าย — ผู้ใช้ที่ต่อเซิร์ฟเวอร์ของตัวเอง (self-hosted) หรือเซิร์ฟเวอร์ที่เชื่อถือได้โดยเฉพาะ ไม่กระทบกับการโจมตีรูปแบบนี้เลย

เข้า Tools > Network (หรือ View > Show Network บางเวอร์ชัน)
ดูแท็บ “Server” จะเห็นเซิร์ฟเวอร์ที่กำลังเชื่อมต่ออยู่
ถ้าเป็น “Auto connect” = โปรแกรมสุ่มต่อเซิร์ฟเวอร์สาธารณะเองตามค่าเริ่มต้น (เสี่ยงกว่า)
เลือกได้ว่าจะล็อกเซิร์ฟเวอร์เฉพาะที่เชื่อถือ หรือตั้งเซิร์ฟเวอร์ของตัวเอง (ดูขั้นถัดไป)

ทางเลือกปลอดภัยสุด: ต่อเซิร์ฟเวอร์ตัวเอง

ถ้าถือเหรียญก้อนใหญ่และอยากตัดความเสี่ยงจากเซิร์ฟเวอร์สาธารณะไปเลย วิธีที่ปลอดภัยที่สุดคือรันโหนด Bitcoin ของตัวเองแล้วต่อ Electrum เข้ากับโหนดนั้นโดยตรง (ไม่ผ่านเซิร์ฟเวอร์คนอื่นเลย) ขั้นตอนตั้งโหนดและต่อกระเป๋าเข้าโหนดตัวเองแบบละเอียด อ่านเพิ่มได้ใน บทความวิธีต่อกระเป๋าบิตคอยน์เข้าโหนดตัวเอง

นิสัยที่ต้องเปลี่ยนตั้งแต่วันนี้: เทียบที่อยู่แบบเต็ม ไม่ใช่แค่ 4 ตัวท้าย

บทเรียนที่สำคัญที่สุดจากเคสนี้คือ — แฮกเกอร์จงใจ grind (สุ่มคำนวณ) ที่อยู่ปลอมให้ 4 ตัวอักษรสุดท้ายตรงกับที่อยู่จริง เพราะรู้ว่าคนส่วนใหญ่เหลือบดูแค่ท้ายๆ ก่อนเซ็นธุรกรรมใดๆ (ไม่ว่าจะส่งใหม่หรือกด RBF) ให้ทำตามนี้ทุกครั้ง:

คัดลอกที่อยู่ปลายทางที่โปรแกรมแสดงในหน้ายืนยันธุรกรรม
เทียบกับที่อยู่ที่บันทึกไว้จริง (จากที่คัดลอกมาตอนแรก ไม่ใช่จากหน้าจอที่กำลังจะเซ็น) แบบเต็มทุกตัวอักษร ไม่ใช่แค่ต้น-ท้าย
ถ้าเป็นไปได้ใช้ที่อยู่ที่บันทึกเป็น Contact/Address Book ในโปรแกรมไว้ล่วงหน้า แทนการพิมพ์/วางใหม่ทุกครั้ง
ถ้าเห็นธุรกรรมในประวัติที่ดูแปลกหรือยอดไม่ตรงกับที่ส่งไปจริง — อย่ากดอะไรเพิ่มทันที ปิดโปรแกรม อัปเดตเวอร์ชันก่อน แล้วค่อยเช็คใหม่

6 กับดักที่คนพลาดบ่อย

กับดัก	ทำไมอันตราย
คิดว่าอัปเดตแล้วปลอดภัย 100%	แพตช์ตรวจแค่ขาออก (is_mine) ธุรกรรมเข้าที่ยังไม่ยืนยันยังไม่ถูกตรวจแบบเดียวกัน
เหลือบดูที่อยู่แค่ 4 ตัวท้าย	แฮกเกอร์จงใจ grind ให้ตรงกันช่วงนี้โดยเฉพาะ
โหลดโปรแกรมจากลิงก์เสิร์ชเอนจิน/โฆษณา	เว็บปลอมหน้าตาเหมือน electrum.org เคยถูกใช้ขโมย Seed มาก่อน
ข้ามการเช็ค GPG signature	เป็นขั้นเดียวที่ยืนยันได้ว่าไฟล์ไม่ถูกแก้ไขระหว่างทางดาวน์โหลด
เห็นธุรกรรมแปลกในประวัติแล้วรีบกด RBF ทันที	คือกลไกหลักของการโจมตีนี้เป๊ะๆ
ตั้งค่าธรรมเนียมต่ำแล้วรอกดเพิ่มทีหลังเป็นประจำ	พฤติกรรมนี้เข้าเงื่อนไขกลุ่มเสี่ยงที่ระบุในรายงานโดยตรง

เช็กลิสต์ก่อนใช้งาน Electrum ต่อ

อัปเดตเป็นเวอร์ชัน 4.8.3 หรือใหม่กว่าแล้ว
โหลดไฟล์จาก electrum.org โดยตรงเท่านั้น ไม่ใช่ลิงก์เสิร์ช/โฆษณา
เช็ค GPG signature ผ่านแล้วก่อนติดตั้ง (เห็น “Good signature”)
รู้ว่าตอนนี้ต่อเซิร์ฟเวอร์ไหนอยู่ (Tools > Network)
พิจารณาต่อเซิร์ฟเวอร์ตัวเอง/ที่เชื่อถือได้ ถ้าถือเหรียญก้อนใหญ่
มีนิสัยเทียบที่อยู่ปลายทางแบบเต็มก่อนเซ็นทุกครั้ง ไม่ใช่แค่ดูท้ายๆ
รู้ว่าถ้าเห็นธุรกรรมแปลกในประวัติ ต้องหยุดก่อนแล้วอัปเดต ไม่ใช่รีบกด RBF
เข้าใจว่าธุรกรรมบิตคอยน์ยืนยันแล้วย้อนกลับไม่ได้ ไม่มีใครช่วยคืนเงินให้

คำถามที่พบบ่อย

ไม่เคยกด RBF เลย ต้องอัปเดตไหม

ควรอัปเดตอยู่ดี เพราะช่องโหว่อยู่ในวิธีที่ไคลเอนต์แสดงธุรกรรมที่ยังไม่ยืนยันทั้งหมด ไม่ใช่เฉพาะตอนกด RBF — การอัปเดตปิดช่องให้เซิร์ฟเวอร์ปลอมยัดธุรกรรมเข้าประวัติตั้งแต่ต้นทาง

ใช้เซิร์ฟเวอร์สาธารณะที่มาให้เลือกในโปรแกรม ปลอดภัยไหม

ส่วนใหญ่ไม่มีปัญหา แต่ตามดีไซน์ของ Electrum ผู้ใช้ต้อง “เชื่อใจ” เซิร์ฟเวอร์ที่เลือกต่อในระดับหนึ่งเสมอ เคสนี้เกิดจากมีเซิร์ฟเวอร์อันตรายแทรกอยู่ในเครือข่ายจริง การอัปเดตเวอร์ชันช่วยปิดช่องโหว่นี้ไม่ว่าจะต่อเซิร์ฟเวอร์ไหนก็ตาม แต่ต่อเซิร์ฟเวอร์ที่เชื่อถือได้/ของตัวเองยังปลอดภัยกว่าในภาพรวม

ถ้าเสียเงินไปแล้วจากช่องโหว่นี้ ขอเงินคืนได้ไหม

ไม่ได้ ธุรกรรมบิตคอยน์ที่ยืนยันแล้วย้อนกลับไม่ได้ และ Electrum เป็นซอฟต์แวร์โอเพนซอร์สไม่มีกองทุนชดเชยผู้ใช้

ฮาร์ดแวร์วอลเล็ตที่ต่อกับ Electrum (เช่น Trezor) ช่วยป้องกันเคสนี้ได้ไหม

ช่วยได้บางส่วน — หน้าจอฮาร์ดแวร์วอลเล็ตจะโชว์ที่อยู่ปลายทางจริงให้ยืนยันก่อนเซ็นเสมอ (Trusted Display) ถ้าเทียบที่อยู่เต็มบนหน้าจอฮาร์ดแวร์วอลเล็ตอย่างละเอียดก็จะจับความผิดปกติได้ แต่ถ้าเหลือบดูแค่ตัวท้ายเหมือนกันก็ยังพลาดได้อยู่ดี ไม่ใช่การันตี 100%

ธุรกรรมที่ยังไม่ confirm แล้วแสดงในประวัติผิดปกติ ต้องทำยังไงก่อนอื่น

ปิดโปรแกรมทันที อย่ากดอะไรเพิ่ม (ไม่ว่าจะ RBF หรือยกเลิก) อัปเดตเป็นเวอร์ชันล่าสุดก่อน แล้วเปิดใหม่เช็คประวัติธุรกรรมอีกครั้งพร้อมเทียบกับ Block Explorer ภายนอกว่าธุรกรรมจริงที่ส่งไปสถานะเป็นยังไง

ที่มา: GitHub Security Advisory GHSA-6jp4-8v48-cc5v (spesmilo/electrum), electrum.org official download page, และรายงานข่าวในคลัง SiamBitcoin