ELECTRUM - BITCOIN WALLET

[AakZaki]

Pertanyaan, apakah ada list verified untuk server yang pastinya aman bisa kita pakai ?

Kayaknya gak ada deh, menggunakan Server orang lain berarti percaya kepada server milik orang lain.
Kalopun kita mau coba cari server yang dari perusahaan besar yang terkenal misalnya, saya rasa juga gak ada. masalahnya penyedia server gak ada benefit kecuali untuk kebutuhan monitoring itu.

Makanya selama saya masih menggunakan server Electrum sendiri saya tidak akan tertarik menggunakan wallet lain, lebih-lebih wallet yang masih baru.

Kekurangnya pakai server sendiri memang gak praktis, kalo servernya private gak bisa di gunakan di wallet yang ada di HP.

[Husna QA]

Jadi, kalaupun mau merubah secara manual, pastikan tahu alamat servernya, dan berhati-hati dalam memilih server jika sekiranya belum memiliki node Electrum pribadi.

Kebetulan Om Husna QA mentioned the thread sebelah, karena pertanyaan saya sebenarnya kayaknya cocok di thread ELECTRUM makanya saya drag kemari saja pertanyaan saya. Kemarin² saya melakukan testing di Ibis Wallet dan untuk servernya sudah diisi secara default (yaitu; 2 server). Mau menambahkan server lain, apabila mungkin nantinya server yang tersedia mungkin down dll biar otomatis pindah ke server lain karena harus isi secara manual jadi wajib bener2 makai yang setidaknya server tidak ada niatan jahat.

Pertanyaan, apakah ada list verified untuk server yang pastinya aman bisa kita pakai ? saya aware untuk masalah server Electrum ini cuman mungkin yang tidak aware untuk bijak-bijak memilih server. Takutnya memakai server yang bermasalah secara tidak langsung. Saya search sana sini dan akhirnya dapet kesimpulan kayaknya memang benar yah tidak ada atau tidak mungkin untuk buat List Verified/Trust Server untuk Electrum.

Alasan:
- Karena list yang terdaftar di Electrum, semua orang bisa mendaftar (mungkin buat keperluan monitoring).
- Semua orang bisa membuat atau menjalankan server dan sever tersebut bisa dijalankan untuk keperluan kejahatan atau mungkin kena compromised oleh orang lain untuk server yang dijalankan.

So far, saya cuman dapat list server2 yang memiliki intensitas jahat saja.

Ya, kalau berbicara tentang server Electrum, selama masih menggunakan node dari server miliki orang lain, artinya user yang menggunakannya mau tidak mau mesti mempercayainya.
Ketika tidak ada susunan daftar server yang dianggap baik atau aman, maka salah satu cara untuk memilah server yang akan digunakan (jika belum punya server sendiri) adalah dengan mencari apakah ada daftar kebalikannya (server jahat), dan dulu saya pernah share juga perihal daftar server jahat yang perlu diwaspadai agar tidak menggunakannya.

—snip—
Beberapa daftar Server jahat yang sudah terdeteksi (silahkan ditambahkan bagi yang mempunyai info server jahat lainnya):

Code:

Attacker servers: [
  'gregoire12.mldlab-works.space:50002:s',
  'readonly.23734430190.pro:50002:s',
  'wireless12.bitquantum.space:50002:s',
  'superuser.23734430190.pro:50002:s',
  'pacslinkip12.krypto-familar.fun:50002:s',
  'topicres.imaginarycoin.info:50002:s',
  'wlseuser12.bitcoinplug.website:50002:s',
  'operatns.imaginarycoin.info:50002:s',
  'superman.cryptoplayer.fun:50002:s',
  'lucent01.23734430190.pro:50002:s',
  'qtmhhttp12.mldlab-works.space:50002:s',
  'plmimservice.bitcoinplug.website:50002:s',
  'username.cryptoplayer.fun:50002:s',
  'qlpinstall.krypto-familar.fun:50002:s',
  'adminstat.imaginarycoin.info:50002:s',
  'lessonuser2.cryptoplayer.fun:50002:s',
  'utilities12.pebwindkraft.space:50002:s',
  'openspirit.cryptoplayer.fun:50002:s',
  'qautprof12.coinucopiaspace.xyz:50002:s',
  'prodcics12.imaginarycoin.info:50002:s',
  'vcoadmin.23734430190.pro:50002:s',
  'siteminder.23734430190.pro:50002:s',
  'videouser.bitcoinplug.website:50002:s',
  'anonymous.bitcoinplug.website:50002:s',
  'oraprobe.23734430190.pro:50002:s'
]

Sumber: https://github.com/spesmilo/electrum/issues/4968#issuecomment-450046206

[ryzaadit]

Kayaknya gak ada deh, menggunakan Server orang lain berarti percaya kepada server milik orang lain.
-snip-

Ya, kalau berbicara tentang server Electrum, selama masih menggunakan node dari server miliki orang lain, artinya user yang menggunakannya mau tidak mau mesti mempercayainya.
-snip-

Benar tampaknya memang tidak ada.

Setelah saya search sana-sini, baik Lokal & Luar. Memang tidak cocok untuk dibikin list mengenai rekomendasi server Electrum, kalau list server yang memang mencurigakan dan ada histori kejahatan bisa ditemuin tapi tidak untuk list rekomendasi untuk server ELECTRUM .

Karena demi masalah keamanan juga takutnya sewaktu-waktu server yang direkomendasikan berubah haluan jadi server jahat. Saya sudah baca² beberapa thread mengenai pertanyaan saya. Terima kasih semuanya.

[Chikito]

Kayaknya gak ada deh, menggunakan Server orang lain berarti percaya kepada server milik orang lain.
-snip-

Ya, kalau berbicara tentang server Electrum, selama masih menggunakan node dari server miliki orang lain, artinya user yang menggunakannya mau tidak mau mesti mempercayainya.
-snip-

Karena demi masalah keamanan juga takutnya sewaktu-waktu server yang direkomendasikan berubah haluan jadi server jahat.

Kalau di electrum sampeyan punya balance gede, dan sering banget transaksi, ada baiknya memang pake server sendiri (yang telah direkomendasikan Zaki dan husna).

Gak ribet sih sebenarnya, asal bitcoin core-nya sudah full node, punya PC mumpuni dan internet yang kenceng. Malah kita bisa taruh server kita tersebut di electrum. Namun ya PC kita perlu kerja full time (24/7), kalau bisa sih sekaligus jadi server Lighting Network (LN) juga, ini yang banyak dipakai orang (kalau tidak bisa mining), jadi server LN bisa ngumpulin btc dikit demi sedikit, dan tergantung tarif sih sama reputasi kita.

[Luzin]

Lighting Network (LN) juga, ini yang banyak dipakai orang (kalau tidak bisa mining), jadi server LN bisa ngumpulin btc dikit demi sedikit, dan tergantung tarif sih sama reputasi kita.

Maaf mungkin agak OOT ini.
Akibat pembobolan Cordcard dan kerugian nampaknya memberikan efek domino kepada ekosistem Bitcoin termasuk  berbaga jenis wallet lain.  Saya baru saja membaca di akun X dengan user @callebtc. Dia disebutkan adalah kepala tim audit untuk ekosistem Bitcoin. Dia diakatakan bagian dari Tim Merah Bitcoin yang terbentuk setelah peretasan Cordcard. Karena kalau tidak salah Electrum  dan LN open Source seharusnya bisa juga diaudit. Memang ini tidak langsung berhubungan dengan keduanya tapi  dia nampaknya menemukan celah di CLN Core Lightning Network dan saat ini CLN sudah memberikan perbaikan melalui pembaruannya. Walau memang kalau saya memantau Electrum ini mereka selalu Update pembaruan memperbaiki bug aplikasi. Semoga saja electrum selalu dalam versi terbaiknya dan tim selalu melakukan pengembangan tapi saya cukup senang jika memang ada tim audit seperti @callebtc yang bekerja dan tidak memanfaatkan kelemahan itu untuk kejahatan.

Sumber:
1. https://x.com/callebtc/status/2092683963366064550
2. https://bitcointalk.org/index.php?topic=5592448.msg67085288#msg67085288

[AakZaki]

Kalau di electrum sampeyan punya balance gede, dan sering banget transaksi, ada baiknya memang pake server sendiri (yang telah direkomendasikan Zaki dan husna).

Gak ribet sih sebenarnya, asal bitcoin core-nya sudah full node, punya PC mumpuni dan internet yang kenceng. Malah kita bisa taruh server kita tersebut di electrum. Namun ya PC kita perlu kerja full time (24/7),

Sebenarnya untuk jalanin Server Electrum sendiri tidak harus PC nya kerja rodi fulltime 24/7, Saya sendiri mengaturnya sebagai berikut:
Ada kalanya saya menstop server saya, ketika saya tidak buka wallet Electrum saya.
Sebenarnya sifatnya itu flexibel bisa di start dan di stop.

Server Electrum itu harus berjalan atau terbuka bersamaan dengan Bitcoin Core nya, kalo tidak server Electrum tersebut tidak akan aktif.

Biasanya ketika saya mau start lagi server Electrum saya secara bersamaan dengan Bitcoin Core nya, maka Bitcoin Core nya akan download block yang tertinggal terlebih dahulu sebelum server benar-benar aktif.

Kalo di gunakan terpisah Bitcoin Core aja, kurang user friendly sih menurutku, karena di bagian tertentu masih terasa lambat.
Yang paling realistis kalau kita serius di Bitcoin:
Best setup nya itu:

• Bitcoin Core (node)
• • Electrum server private (Fulcrum/EPS)
• • Electrum wallet

Tanpa stup ini, ya kita cuma numpang sistem orang dan maklum kalo kadang di kadalin orang.
Setup ini juga jadi kombo gabungan: Cepat - Aman - Privat.

[Chikito]

Karena kalau tidak salah Electrum  dan LN open Source seharusnya bisa juga diaudit. Memang ini tidak langsung berhubungan dengan keduanya tapi  dia nampaknya menemukan celah di CLN Core Lightning Network dan saat ini CLN sudah memberikan perbaikan melalui pembaruannya. Walau memang kalau saya memantau Electrum ini mereka selalu Update pembaruan memperbaiki bug aplikasi. Semoga saja electrum selalu dalam versi terbaiknya dan tim selalu melakukan pengembangan tapi saya cukup senang jika memang ada tim audit seperti @callebtc yang bekerja dan tidak memanfaatkan kelemahan itu untuk kejahatan.

Kalau gak salah Electrum memakai server sendiri untuk Lightining Network-nya (LN), tidak menggunakan CLN (Core Lightning Network) atau server Lightning populer kayak LND atau Eclair, karena electrum ini wallet yg sedikit beda dengan yang lain yaitu menggunakan Phyton, Bukan C sebagaimana CLN ini dipakai. Jadi gak nyambung kalau mau dihubungkan servernya. Electrum juga open source, tiap orang bisa ngelihat code di dalamnya, sehingga setiap perubahan atau update bisa diaudit oleh siapa pun di github, jadi kalau ada celah atau bug yang bikin BTC hilang dapat diantisipasi sebelumnya.

Sebenarnya untuk jalanin Server Electrum sendiri tidak harus PC nya kerja rodi fulltime 24/7, Saya sendiri mengaturnya sebagai berikut:
Ada kalanya saya menstop server saya, ketika saya tidak buka wallet Electrum saya.
Sebenarnya sifatnya itu flexibel bisa di start dan di stop.

Ya kalau servernya sekalian jadi node LN bisa dapet penghasilan juga om, namun itu tadi mesti 24/7.

Server Electrum itu harus berjalan atau terbuka bersamaan dengan Bitcoin Core nya, kalo tidak server Electrum tersebut tidak akan aktif.

Kalau dulu biasanya saya jadikan start up application, jadi ketika pc start Bitcoin Core langsung kebukan dan running. Kalau gak gitu kadang bisa lupa tuk buka bitcoincore.

[AakZaki]

Ya kalau servernya sekalian jadi node LN bisa dapet penghasilan juga om, namun itu tadi mesti 24/7.

Secara teori ya memang berpotensi dapatkan penghasilan, namun secara praktek tidak semudah yang kita bayangkan. Node LN itu ternyata lebih kompleks, Node LN tidak serta merta punya BTC banyak buat channel bisa langsung dapat penghasilan, karena biaya operasionalnya LN itu tinggi.

Sejauh ini saya masih ada Node LN yang masih aktif dengan username "zkNodes" sekarang masih runing, total capacity yang pernah saya punya untuk channel LN saya 34.6 juta Sats. Namun saat ini saya sudah menyerah dan menarik BTC saya dan menyisakan sedikit untuk node LN saya tersebut.

Kenapa saya katakan node LN itu operasionalnya tinggi:

• Harus pakai VPS, sudah pasti sewa. karena kalo di PC sendiri pasti gak stabil.
• LN ada istilah saldo Lokal vs saldo Remote untuk kedua channel kalo keduanya tidak seimbang, node LN tidak bisa jadi routing. disini jadi gak bakal bisa dapatkan penghasilan, karena jadi jalan buntu.
• Sedangkan kalo mau menyeimbangkan antara saldo Lokal vs saldo Remote itu kadang dibutuhkan Rebalance atau Swap, disini kita kena fee Rebalance atau Swap tersebut.

Yang gratis tanpa biaya itu hanya setup server Electrum seperti yang saya sebutkkan di atas, karena setupnya bisa di PC pribadi.

[Husna QA]

Btw, barangkali ada teman-teman yang sudah pernah membaca perihal usulan pada salah satu pull request di Electrum berupa tambahan 'extra_entropy' ketika user membuat seed/mnemonic?
- mnemonic.make_seed: add "extra_entropy" arg, and expose it to CLI/RPC: https://github.com/spesmilo/electrum/pull/8839

The randomness generated by the CPU/OS is assumed weak, but otherwise the user trusts the CPU/OS to execute code as-is.

Sebelum mencuatnya kasus ColdCard yang mana lemahnya pengacakan Seed yang dihasilkan dari hardware wallet tersebut dianggap sebagai penyebab diretasnya ribuan Bitcoin dari penggunanya, ternyata di Electrum sudah pernah membahas tentang issue serupa (sebagaimana saya quote diatas) dengan adanya usulan di pull GitHub Electrum.

[joniboini]

ternyata di Electrum sudah pernah membahas tentang issue serupa (sebagaimana saya quote diatas) dengan adanya usulan di pull GitHub Electrum.

Ane sendiri belum pernah membaca usulan tersebut. Tapi seingat ane di board luar pernah ada pembahasan serupa soal extended seeds, dan setelah ada kasus Coldcard itu jadi makin ramai usulan untuk memakai fitur extended seed tersebut dengan asumsi usernya bisa menjaga backup dengan baik. Di komentar paling baru sepertinya usulan tersebut sudah dimodif lagi agar tidak bergantung ke command yang sudah deprecated?

[Chikito]

Sebelum mencuatnya kasus ColdCard yang mana lemahnya pengacakan Seed yang dihasilkan dari hardware wallet tersebut dianggap sebagai penyebab diretasnya ribuan Bitcoin dari penggunanya, ternyata di Electrum sudah pernah membahas tentang issue serupa (sebagaimana saya quote diatas) dengan adanya usulan di pull GitHub Electrum.

Awal-awal penggunaan non custody wallet saya sempat ragu perihal pengacakan seed sebuah wallet, dulu itu saya pakai PC yg biasa saja dengan minimum OS dan Hardware, karena tahu kalau pengacakan seed menyesuaikan kondisi PC, maka saya menambahkan seed Passphrase di tiap saya generate seed di wallet baru. Baik itu HW, mau pun electrum pasti saya akan pakai seed passphrase untuk menambah "power" pada wallet saya.



Kalau electrum akan menambah entrophy di tiap generate seed, tentunya bagus, namun agak bingung juga extra entropy ini apakah sama dengan seed passphrase?, apa akan ada tambahan option di generate wallet nanti?, kalau gambar di atas kan cuma 1, nanti kalau ada update terbaru apa akan ada tambahan option "extend this seed with extra entropy"?

[Rashlyowl]

8 jam yang lalu Electrum merilis Electrum 4.8.2. Berdasarkan release note, ada 3 yang baru, yaitu:

(1) miscellaneous security hardening across the codebase (e.g. #10885)
(2) interface: validate response shape of server.peers.subscribe (#10834)
(3) bitbox01, safe-t: show a deprecation warning when creating or pairing a wallet (#10871)

Selain itu terdapat banyak bagian yang diperbaiki & berubah, berikut release note lengkapnya:

Code:

# Release 4.8.2 (September 11, 2026) (security update)
 * Security fixes for reports received from:
   - l0rinc
   - "Bitcoin Red Team"
   - calle
   - haoxucu
   - m0wer
 * General:
   - new: miscellaneous security hardening across the codebase (e.g. #10885)
   - fix: channel backups (#10851, #10852)
       > Existing Lightning channel backups and full wallet backups,
         (1) exported from wallets with non-deterministic lightning keys, AND (&&)
         (2) specifically for anchor channels,
         were missing a critical key needed to sweep the coins onchain after requesting a remote-force-close.
         Affected wallets warn on startup: Users must export new backups for these channels: older backups
         can't request a force close anymore as they miss information required to claim funds.
         - Context for (1): Lightning keys are deterministic for Electrum seed based wallets where the wallet file
           was created in version 4.1 (2021 March) or later (but not in 4.0.x).
           bip39 seed- or imported xprv-based LN wallets always have non-deterministic keys.
           In Qt (Desktop), the "wallet information" dialog shows "Lightning: Enabled, non-recoverable channels",
           in qml (Android), the "Open Lightning Channel" dialog shows "Your channel cannot be recovered from seed [...]",
           if your wallet has non-deterministic LN keys.
 * Onchain / Wallet:
   - fix: ensure a change address exists for automated sweeps when 'use_change' is disabled (#10922)
   - fix: sweeping a privkey whose address is in an imported-address wallet (#10893)
   - fix: add missing cache invalidation to fix stale balance and utxo caches after reorgs (#10945)
   - fix: bip32: reject malformed xprv/xpub that were previously silently accepted (#10880, #10881)
   - fix: descriptor: wrong error message when rejecting too many pubkeys (#10947)
 * Qt GUI (desktop):
   - fix: editing and viewing saved multiline payment identifiers (#10930)
   - fix: send tab: Send button could get enabled for LN invoices in non-lightning wallets (#10944)
   - fix: don't offer to open a new channel in wallets that cannot open channels (#10943)
   - fix: qr code reader: fix slow or freezing camera (#10932)
   - fix: fix 'stay online' warning popup during a pending force-close (#10890)
 * QML GUI & Android:
   - changed: wizard: hide the passphrase input field unless the checkbox is enabled (#10845)
   - changed: protect the QR scanner view from screenshots (#10815)
   - fix: automatically remove paid invoices from the invoice list, as in qt gui (#10919)
   - fix: biometrics: prevent concurrent authentication requests (#10917)
 * GUIs:
   - fix: qt/qml: handle seemingly random crashes occurring through access of deleted objects (#10894)
 * Lightning:
   - changed: don't request or accept zeroconf channels if LN forwarding is enabled (#10929)
   - changed: fail htlcs that need forwarding right away if forwarding is disabled (b952a6d)
   - changed: disconnect on illegal update_*/commitsig/revack messages (#10897)
   - changed: drop support for legacy closing fee negotiation, without fee_range (#10861)
   - fix: stricter validation of incoming htlcs (#10899, #10929, #10938, #10939, e966470)
   - fix: htlcs joining an expired mpp set were not failed with MPP_TIMEOUT (#10929)
   - fix: fix wedged peer connections after system suspend / app backgrounding (#10909)
   - fix: don't drop an incoming channel once its funding tx reached min depth (#10888)
   - fix: fix crash during onchain sweeping of htlcs (#10906)
   - fix: do not fail invoice until all htlcs are irrevocably resolved (#10962)
 * Submarine swaps:
   - fix: swapserver: nostr announcement PoW mining could discard freshly mined work (#10859)
   - fix: swapserver: simplified lightning invoice payment logic, fixing db leak (#10877)
   - fix: don't show the counterparties refund tx of a failed submarine payment in history (#10862)
 * Electrum protocol:
   - new: interface: validate response shape of server.peers.subscribe (#10834)
   - fix: synchronizer: race during concurrent status updates caused disconnects (#10870)
 * CLI/RPC:
   - changed: stop quantizing transaction fee rates passed to tx construction (#10912)
   - fix: swaps: fail early with a clear error if fees changed since the dryrun (#10840)
   - fix: reverse_swap: don't include claim fee in onchain_amount for consistency with dryrun (#10840)
 * Hardware wallets:
   - new: bitbox01, safe-t: show a deprecation warning when creating or pairing a wallet (#10871)
   - fix: trezor: fix handling of devices with passphrase_always_on_device option enabled (#10872)
   - fix: trezor: settings dialog: fix crash after disabling passphrase protection (#10872)

[Husna QA]

UPDATE

 Electrum-4.8.3 

Beberapa hari yang lalu (tanggal 23 Oktober 2026), Electrum merilis versi terbaru: Electrum 4.8.3
Link download resmi:
https://download.electrum.org/4.8.3/
https://www.electrum.org/#download

Pada versi kali ini ada cukup banyak perbaikan dari fitur-fitur yang sudah dirilis pada versi sebelumnya.
Salah satu yang menjadi perhatian saya adalah adanya perbaikan pada isu keamanan terkait 'Malicious server' yang dikategorikan tingkat keparahannya cukup tinggi (severity: high)
Penjelasannya bisa dilihat di:
https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
(Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it)




Lebih detail perihal apa saja yang diupdate pada Electrum-4.8.3, bisa lihat pada link catatan rilis berikut ini:
https://github.com/spesmilo/electrum/blob/master/RELEASE-NOTES

Code:

# Release 4.8.3 (October 23, 2026) (security update)
 * Security fixes for reports received from:
   - dannydeezy
   - tokenistq
   - Raju-K12
   - Amadeus29
 * security fixes and disclosures:
   - (sev-high) Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it
     - see https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
 * General:
   - new: add mempool.space as an exchange rate provider (#10985)
   - new: dnssec: add KSK-2024 root trust anchor (#10996)
   - changed: exchange rate module cleanup and hardening (#10990)
   - fix: prevent network requests from going through the Qt library (#10971)
   - fix: dnssec: cleanup and bugfixes (#11002)
 * Onchain / Wallet:
   - new: transaction: support all sighash types in legacy preimage (#11069)
   - changed: wallet: small performance improvement for get_history (#11068)
   - fix: stop signing a txin if it already has a witness (#10981)
   - fix: treat native segwit inputs with a non-empty witness as complete (#10987)
   - fix: descriptor: reject trailing characters after the closing parenthesis (#10948)
   - fix: bip32: stricter child index string parsing (#10999)
   - fix: several fixes for enabling and disabling a keystore (#11051, #11063)
 * Qt GUI (desktop):
   - changed: improve the messages shown by the "Send change to lightning" option (#10975)
   - fix: exception when disabling the "Submarine Payments" option in the max-spend transaction dialog (#11035)
 * QML GUI & Android:
   - new: allow manual input of the payment destination in the send/QR scanning view (#11041)
   - changed: use calendar-based transaction history sections (#10991)
   - changed: update the build from Java 17 to 21, remove androidx dependencies (including transitive ones) (#11033)
   - fix: fee slider crash when the wallet is closed (#11029)
   - fix: exceptions occurring with transactions that don't yet have a txid (#11028)
   - fix: patch Qt to solve an occasional crash of the Android app (#11043)
   - fix: misplaced notification toasts (#11044)
   - fix: show the Electrum logo as the notification icon instead of a white disc, remove plyer dependency (#11038)
   - fix: stale channel bar (#11049)
 * GUIs:
   - new: barcode scanning with QtMultimedia and zxing-cpp QR recognition (#10955)
   - changed: disable rich-text string rendering by default (#10972)
   - fix: wizard: redirect the user to the 2FA wallet wizard when they enter a 2FA seed in the standard wallet wizard (#10982)
 * Lightning:
   - changed: bolt11: stricter invoice parsing, module cleanup (#10940, #10970)
   - changed: refactor the data structure for channel configuration (#10994)
   - fix: race condition causing wallets to miss onchain (OP_RETURN) channel backups (#10984)
   - fix: additional checks on incoming htlcs before opening an (experimental) just-in-time channel (#11001)
   - fix: charge the fee for the outgoing channel during (experimental) trampoline forwarding, additional checks (#11011)
   - fix: stop waiting for the CSV delay when claiming revoked htlcs (#11015)
   - fix: sign pending ctx updates during shutdown (#11036)
 * Submarine swaps:
   - fix: stop waiting for timeout in NostrTransport exit methods (#11062)
 * Plugins:
   - changed: stricter validation of plugin metadata (#11025)
   - fix: load zip plugins from the bytes whose signature was verified (#10874)
 * CLI/RPC:
   - new: dscancel: double-spend cancel command (#11005)
   - changed: show clear errors for malformed CLI argument types instead of an opaque traceback (#11006)
   - fix: getprivatekeys: returned error message now shows the full invalid address (#11020)
   - fix: list_channels: inverted active filter, add capacity to the return value (#11032)
 * Hardware wallets:
   - changed: jade: make the plugin compatible with cbor2 6.x (#11042)
   - fix: coldcard: error message when the device is not connected (983a561)
 * Dependencies:
   - fix: bump certifi and pip to distrust revoked eMudhra/emSign cert (#11066)

[ryzaadit]

Pada versi kali ini ada cukup banyak perbaikan dari fitur-fitur yang sudah dirilis pada versi sebelumnya.
Salah satu yang menjadi perhatian saya adalah adanya perbaikan pada isu keamanan terkait 'Malicious server' yang dikategorikan tingkat keparahannya cukup tinggi (severity: high)
Penjelasannya bisa dilihat di:
https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5v
(Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it)

Untuk kasus RBF, ini ada salah satu member lokal kita yang buka thread: [TANYA] Lacak BTC yang dicuri dan ini penjelasan beliau:

sampe sekarang masih belum ketawan dari mana malwarenya berasal (tapi kemungkinan besar dari app electrumnya yg dicompromise). jadi sebelumnya di electrum addressnya bener address saya, tapi txnya pending locally gitu. pas fee ditambahin addressnya kereplace sama address scammer, sama persis seperti kasus dibawah ini
https://www.reddit.com/r/Electrum/comments/1ccrfop/transaction_replaced_to_scammer_wallet/

dan wallet ini udah bertahun2 juga di mac ini dan gapernah ada issue, bisa om om semua liat kalau sudah ada 10k tx dan biasanya aman aja. dan kalau masalah kenapa gak dicek addressnya pas replace, saya lagi mabuk dan dah gak sabar mau split ace di stake bj duitnya kurang.

Apakah om @asayoyaasa jadi salah satu korban dari kasus ini ? Waktu saya baca update dari om @Husna_QA langsung teringat kasus om @asayoyaasa yang di mana dia menjelaskan setelah RBF address ke replace sehingga rugi 1.2 BTC.

[AakZaki]

Pada versi kali ini ada cukup banyak perbaikan dari fitur-fitur yang sudah dirilis pada versi sebelumnya.
Salah satu yang menjadi perhatian saya adalah adanya perbaikan pada isu keamanan terkait 'Malicious server' yang dikategorikan tingkat keparahannya cukup tinggi (severity: high)

Menanggapi server yang digunakan di Wallet Electrum memang harus menjadi perhatian khusus, sebab banyak sekali server yang bahkan hanya menampilkan IP yang mungkin salah satunya merupakan "Malicious server".


Jujurli kenapa saya memaksakan untuk membuat server pribadi ya alasannya untuk menghindari Malicious server itu sendiri.

Selain memberikan keamanan tersendiri ketika menggunakan server pribadi, itu juga memberikan kecepatan saat brodcast, sejauh ini tidak ada satupun transaksi saya yang mengalami kendala, karena ketika saya sudah klik sent langsung muncul txID nya dan ketika di cek di mempool langsung muncul.
Jadi ada seperti dilema menggunkan software wallet atau hardwallet. ketika menggunakan software wallet seperti Electrum kita dihantui oleh Malicious server, sedangkan menggunakan hardwallet yang menjadi kekhawatirannya takut seperti yang terjadi pada Coldcard dan Ledger.