收到安全更新通知，先別急著執行下載檔。Electrum 驗簽要確認的是：你手上的檔案，是否與指定公鑰的簽章相符。這篇以 4.8.3 的 Linux 下載流程為例，帶你留下檔案、簽章、公鑰完整指紋及 GPG 結果；公鑰是否符合官方文件、是否已獨立確認持有人身分，會分開記錄。驗不出來，就停在安裝前。
先準備能使用終端機的 Linux 環境、GnuPG 與 wget。本文的成果是一份可核對的下載紀錄，不需要開啟錢包、輸入助記詞或發送交易。後半段再說明：下載檔驗簽通過後，為何加速交易仍要重新核對收款內容。
4.8.3 修補的是哪一段風險？
Electrum 官方安全公告列出受影響版本為低於 4.8.3，修補版本為 4.8.3；時間線記載 2026 年 10 月 24 日釋出二進位檔並公開揭露。攻擊條件是：惡意主伺服器攔住剛廣播的交易，再把收款輸出換成攻擊者地址的衝突交易塞進錢包歷史；使用者若對這筆假交易手動 RBF 加費，簽署並廣播替換交易，就可能付給攻擊者。RBF 是以較高手續費的交易替換原交易。
因此，不能只憑「仍用 4.8.2、開過錢包」就判定已失竊。公告要求升級，也要求簽署任何交易時核對輸出地址與金額；它還提到回報中的假地址刻意配對真地址最後四碼。只掃尾碼不足以完成這次核對。
下載前，先確認備份與檔案種類
官方升級 FAQ要求升級前把錢包 seed 妥善備份在紙上。先確認自己原有的備份可取得，別為了這次下載把助記詞貼到網頁、工單或終端機。FAQ 也提醒，部分升級會變更錢包檔格式，舊版未必讀得懂新版開過的檔案；出問題時不要把直接降版當成通用復原方法。
本文選 Electrum-4.8.3.tar.gz 原始碼壓縮檔示範驗簽，驗完先停，不解壓、不安裝。這不是可雙擊執行的 AppImage。若你要下載 AppImage，官網目前列的是 x86_64、glibc 2.31 以上；必須使用 AppImage 自己的簽章，不能拿原始碼包的 .asc 配它。
Electrum 驗簽第一步：把下載檔與 .asc 配成一對
自行輸入 electrum.org，在下載區核對版本，再取同一列的檔案與 Signatures。不要從聊天訊息或更新彈窗的連結直接續做。檔名的大小寫、版本與格式都要一致；每次下載都另建空資料夾，避免重試時混到舊檔。先執行準備指令：
gpg --version
wget --version
mkdir ~/electrum-verify-4.8.3-01 && cd ~/electrum-verify-4.8.3-01 && pwd確認兩個工具都有版本輸出，且最後顯示剛建立的資料夾路徑，才執行下一段。若目錄已存在，不要沿用；把上面兩處 -01 同時換成尚未使用的 -02 等名稱，重新建立並進入。任何一行失敗都先停下處理。
wget https://download.electrum.org/4.8.3/Electrum-4.8.3.tar.gz
wget https://download.electrum.org/4.8.3/Electrum-4.8.3.tar.gz.asc
ls -l Electrum-4.8.3.tar.gz Electrum-4.8.3.tar.gz.asc若前兩行顯示找不到指令，先透過發行版的官方套件管理器準備 GnuPG 與 wget。下載遇到 403、檔案不存在，或只存到錯誤網頁，就停下來回查官網；不要改用陌生鏡像，也不要把不明檔案改副檔名來湊一對。瀏覽器若另存成 .asc.txt，先確認實際內容與來源，不能只靠檔名判斷。
使用瀏覽器下載也可以，同樣存進新的空資料夾。核對下載工具回報的實際儲存位置與上述 ls 列出的兩個名稱；wget 或瀏覽器重複下載可能另加編號，不能把新檔另存後仍驗原名稱。第三步要指定本次實際取得的同一對檔案。.asc 是供驗證使用的簽章資料，不能只下載它就當成取得錢包。這一對示範檔案的完整 URL，應和官網連出的網址逐字對上。
Electrum 驗簽第二步：先認完整指紋，再匯入公鑰
從官網的 ThomasV 連結取得 公鑰 ThomasV.asc。公鑰可用來核對簽章；它不是你的錢包私鑰。先用 GnuPG 的 show-keys 指令查看檔案中的主金鑰指紋，再與 Electrum 官方 Linux 驗簽文件交叉比對：
wget https://raw.githubusercontent.com/spesmilo/electrum/master/pubkeys/ThomasV.asc
gpg --show-keys --with-fingerprint ThomasV.asc6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6先分清兩層核對：下載的公鑰與官方文件所列指紋相符，只完成專案來源之間的比對；兩者同屬專案管理，仍共用信任起點。官網要求用獨立來源確認指紋，例如你原先已有的可信紀錄，或另已確認可信的開發者渠道。若尚未完成這層身分確認，就記「身分未獨立確認」；仍可繼續做檔案與公鑰的驗簽紀錄，但不要把它寫成已確認官方身分，也不要據此繼續安裝。
要比對完整 40 個十六進位字元，不只看 Thomas Voegtlin 名稱、電子郵件或最後八碼。確認主金鑰指紋與官方文件完全相符，並記下身分確認是否完成後，才匯入公鑰供驗簽：
gpg --import ThomasV.asc
gpg --fingerprint 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6指紋不同就停止；匯入公鑰不會補上持有人身分的證明。不要為了讓結果變綠而把陌生金鑰設為完全信任。
第三步：指定兩個檔案，保留每一筆驗證結果
留在剛才的資料夾，執行下面指令。順序是「簽章檔、被簽的檔案」，兩個都明寫；GnuPG 官方手冊也建議驗證分離式簽章時明確指定資料檔，不依賴自動猜測。這裡另外保存狀態、訊息與結束碼，方便遇到錯誤時回查。
gpg --status-fd 1 --verify \
Electrum-4.8.3.tar.gz.asc Electrum-4.8.3.tar.gz \
> gpg-status.txt 2> gpg-output.txt
printf 'gpg exit code: %s\n' "$?" > gpg-exit.txt
cat gpg-output.txt
cat gpg-status.txt
cat gpg-exit.txt先看完整輸出，再依情況處理：
- ThomasV 的 Good signature：還要對照該筆狀態的
VALIDSIG主金鑰指紋，與前面的完整指紋一致。下方用原始輸出示範位置；姓名相同、指紋不同，不能算過關。 - 未建立信任的警告：
This key is not certified with a trusted signature與[unknown]不等於簽章錯誤；官方文件說明，這反映尚未建立信任網。它也不會替你確認持有人身分：若目前只比對官方文件，就仍記「身分未獨立確認」，停在驗簽紀錄。 - No public key：該筆簽章尚未被驗證。若缺的是 ThomasV，回到官網取得公鑰、核對指紋後重做；不要按錯誤訊息裡陌生來源的下載建議。
- BAD signature、指紋不符或無法讀取資料：停止安裝，重新檢查版本、檔案配對、路徑與下載是否完整。需要重取時，回第一步另建尚未使用的空資料夾，再從官方入口下載兩份檔案；確認本次實際儲存的名稱與位置，第三步也改在新資料夾驗這一對，不只重跑舊目錄的指令。仍失敗就保存輸出求助；金鑰過期、撤銷或不支援的演算法也先停下釐清。
同一份 .asc 可以含多位建置者的簽章。依 GnuPG 狀態規格，每筆會有自己的結果；VALIDSIG 表示密碼學驗證成立，身分與信任則要另查。不要只搜尋到一行 Good 就忽略其他錯誤，也不要把另一位簽署者缺鑰，寫成 ThomasV 的簽章失敗。
本次在 macOS 以 GnuPG 2.5.20，對官方 4.8.3 原始碼包實際做了檔案驗簽；只匯入 ThomasV 時，ThomasV 這筆得到 Good signature 與相符的完整指紋，另外四筆則缺公鑰，整體結束碼為非零。這份紀錄只能寫「ThomasV 簽章相符，其他四筆未驗」，不能寫「全部簽章通過」，也沒有測試 Linux 安裝或交易。
下面摘錄剛才這份 macOS 實測的狀態檔，文字照錄；這是判讀範例，不是 Linux 測試結果。先在自己的 gpg-status.txt 找每個 [GNUPG:] NEWSIG：它標記一筆開始，到下一個 NEWSIG 前為止。最後一筆讀到檔案結尾；FAILURE gpg-exit 是整次命令的失敗狀態，須配合各筆結果判讀。這次共有五個 NEWSIG。
第 1 筆：從第一個 NEWSIG 開始，下一個 NEWSIG 前只有以下三行。ERRSIG 和 NO_PUBKEY 都指向 3152347D07DA627C；這個 ID 用來對應同一筆訊息，不能拿來取代身分核對。
[GNUPG:] NEWSIG
[GNUPG:] ERRSIG 3152347D07DA627C 1 10 00 1792850322 9 637DB1E23370F84AFF88CCE03152347D07DA627C
[GNUPG:] NO_PUBKEY 3152347D07DA627C這列紀錄填「第 1 筆／金鑰 ID 3152347D07DA627C／缺公鑰、未驗／簽署者身分未確認」。這裡沒有 VALIDSIG，不能把 ERRSIG 行尾的指紋當成驗證成功。第 2、3、4 筆在本次紀錄也分別顯示 NO_PUBKEY，ID 為 7ED8D82B37192688、CA9EEEC43DF911DC、CFB2C83C66CD792A，各填一列「未驗」，不猜姓名。
第 5 筆是 ThomasV 目標簽章：以下從第五個 NEWSIG 到信任狀態行；同一筆內的 GOODSIG 提供顯示名稱與金鑰 ID，VALIDSIG 則供完整指紋核對。
[GNUPG:] NEWSIG
[GNUPG:] KEY_CONSIDERED 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6 0
[GNUPG:] SIG_ID JGWmO6LR4eACW12KvX8wNVDu1tk 2026-10-24 1792820979
[GNUPG:] GOODSIG 2BD5824B7F9470E6 Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[GNUPG:] VALIDSIG 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6 2026-10-24 1792820979 0 4 0 1 10 00 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6
[GNUPG:] TRUST_UNDEFINED 0 pgp依前述狀態規格，VALIDSIG 後第一個值是實際簽署金鑰的完整指紋；行尾可另列主金鑰指紋。本次行尾在 00 之後的 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6 就是主金鑰指紋，與該行第一個值相同。逐字比對第二步的 40 字元；若別次看到子鑰或缺少預期欄位，回查規格與公鑰資料，不靠姓名或短 ID 猜測。
這列可填「第 5 筆／ThomasV（依官方文件指紋對應）／完整主金鑰指紋相符／簽章相符」，另欄記「身分是否已獨立確認」；只照本文比對專案文件時，該欄仍填「未完成」。這次整體結束碼是 2：前四筆缺鑰仍未驗，不能寫全部通過；它也不會抹去第五筆已成立的密碼學結果。你的結束碼若非零，仍須逐筆找到原因，不能直接套用本例解釋。
本文以與官方文件所列指紋相符的 ThomasV 公鑰為驗簽目標；這個比對本身不代表已獨立確認身分。其他簽署者要另外驗，可從官網相應連結取得公鑰並核對各自完整指紋；若身分尚未獨立確認、不能分清每筆對應者、ThomasV 沒有相符的有效簽章，或出現尚未釐清的無效簽章，就保持停止安裝。不要用忽略錯誤的選項硬繼續。
保存核對表；之後每次加費，也重看完整收款內容
完成後，留下一張便條：官方入口 URL、查核日期、版本與平台、檔案及簽章的實際名稱、兩個下載 URL、公鑰來源、完整主金鑰指紋、是否符合官方文件、是否已獨立確認持有人身分，以及這次的三份 GPG 輸出。結果按簽署者分開填「相符／未驗／失敗」，不要只填一個籠統的通過。換版本、換平台或重新下載不同檔案，都重新驗。
驗簽確認檔案與那把金鑰的簽章相符，不會替程式做漏洞稽核，也不會核准任何收款地址。回到錢包後，簽署前逐字比對完整收款地址、各筆輸出金額與手續費；對照原本可信的付款資料，不只和錢包歷史顯示互相比。RBF 加費會再簽署替換交易，這次仍要重新檢查；看到陌生輸出就停，不因急著加速而略過。
如果已發生自己沒有發起的轉出，保留原交易與異常交易的識別碼、時間和操作紀錄，再尋求可信協助。整理資料的方法可參考 失竊回報的交易證據清單，但 Electrum 個案仍應交給對應專案處理，不把其他廠牌客服當成通用救援入口。
接著閱讀
左右滑動查看更多推薦