Electrum

Wallet

No reviews yet

Verified Checking...

Last updated: 14.10.2026

Excellent

KYC-Level

Good

Privacy

– Average

Trust

electrum.org Open →

Features

Open Source NonCustodial

Tor support

Not available

Incidents & History

Confirmed security incidents, shown transparently with their impact on the trust score

28.04.2026 – Autorisierungs-Bypass im externen Plugin-System ermöglicht Codeausführung (GHSA-vw94-r84p-66qf)

Electrums zweistufiger Plugin-Loader (4.6.0-4.7.1) führte die __init__.py eines Plugins vor der Signaturprüfung aus, wodurch ein lokaler Angreifer mit Schreibzugriff auf das Electrum-Konfigurationsverzeichnis beliebigen Code ausführen konnte. Der Melder erhielt eine Bug-Bounty. Behoben in 4.7.2.

Score impact: -2, fading out by 10/2026

28.04.2026 – Umgehung der Plugin-Signaturprüfung ermöglichte Codeausführung

Zwischen Version 4.6.0 und 4.7.1 prüfte Electrum bei externen Plugins nur, ob diese als "aktiviert" markiert waren, nicht aber deren kryptografische Signatur. Schadsoftware mit Schreibzugriff auf das Datenverzeichnis konnte dadurch beliebigen Code im Electrum-Prozess ausführen.

Score impact: -1

12.09.2023 – Preimage-Validierung bei Lightning-Zahlungen auf Android übersprungen (GHSA-9gpc-prj9-89x7)

Auf Android-Builds (4.0.0-4.3.x) ließen deaktivierte Python-Asserts zu, dass ein bösartiger Lightning-Kanalpartner ein gefälschtes Zahlungs-Preimage vorlegen und Gelder des Senders einbehalten konnte, ohne die Zahlung weiterzuleiten. Hohe Schweregrad-Einstufung, laut Maintainer keine bekannte Ausnutzung in freier Wildbahn.

Score impact: -2, fading out by 03/2024

12.09.2023 – Lightning-Bug erlaubte Diebstahl über Multi-Part-Payments

Zwei Fehler im Lightning-Code von Electrum (Versionen 4.1.0–4.4.5) ermöglichten es Angreifern, mit zwei gültigen Rechnungen den Empfang einer nur teilweise bezahlten Multi-Part-Payment vorzutäuschen und den vollen Betrag zu erhalten.

Score impact: -1

12.09.2023 – Android-Version: Deaktivierte Preimage-Prüfung erlaubte Lightning-Diebstahl

In den Android-Builds von Electrum (Version 4.0.0–4.3.x) waren sicherheitsrelevante Assertion-Prüfungen deaktiviert, wodurch ein bösartiger Kanal-Gegenpart bei Multi-Hop-Lightning-Zahlungen den Betrag einbehalten konnte.

Score impact: -1

07.06.2022 – BIP70-Zahlungsanfragen erlauben file://-URIs (GHSA-4fh4-hx35-r355)

Das '?r='-Feld in BIP70-Zahlungsanfragen akzeptierte vom Angreifer gewählte file://-URIs (per QR-Code auslösbar), was Denial-of-Service (Auslesen von /dev/zero) unter Linux/macOS oder das Leaken eines SMB-Auth-Tokens unter Windows zum offline Brute-Force ermöglichte. Gemeldet vom Unciphered-Team; behoben in 4.2.2.

Score impact: -1, fading out by 12/2022

21.12.2018 – Phishing-Angriff über gefälschte Electrum-Server (Fake-Update)

Angreifer betrieben zahlreiche bösartige Electrum-Server, die beim Senden von Transaktionen gefälschte Fehlermeldungen mit Aufforderung zu einem "Update"-Download anzeigten. Nutzer, die die gefälschte Software installierten, verloren ihre Bitcoin.

Score impact: -1

09.02.2018 – Fehlende Autorisierung in der JSON-RPC-Schnittstelle (CVE-2018-1000022)

Electrum vor 3.0.5 hatte eine Lücke bei der Autorisierungsprüfung der JSON-RPC-Schnittstelle; bei ungeschütztem Wallet konnte JavaScript auf einer bösartigen Webseite Bitcoin-Diebstahl auslösen. Behoben in 3.0.5.

Score impact: -1, fading out by 08/2018

09.02.2018 – CVE-2018-1000022: Fehlende Autorisierung in JSONRPC-Schnittstelle

Vor Version 3.0.5 erlaubte eine fehlende Autorisierungsprüfung in der JSONRPC-Schnittstelle von Electrum den Diebstahl von Bitcoin aus ungeschützten Wallets beim Besuch einer präparierten Webseite.

Score impact: -1

27.01.2018 – Python-Konsole erlaubt Codeausführung durch Social Engineering (CVE-2018-6353)

Electrums integrierte Python-Konsole (bis 2.9.4 bzw. 3.x bis 3.0.5) führt beliebigen Code ohne Schutz gegen Social Engineering oder physischen Zugriff aus und ermöglicht so Bitcoin-Diebstahl über Hook-Code nach Eingabe des Wallet-Passworts.

Score impact: -1, fading out by 07/2018

27.01.2018 – CVE-2018-6353: Codeausführung über integrierte Python-Konsole

Die integrierte Python-Konsole von Electrum (bis Version 2.9.4 bzw. 3.0.5) erlaubte die Ausführung beliebigen Codes durch Angreifer mit lokalem Zugriff, was zum Diebstahl von Guthaben führen konnte.

Score impact: -1

Trust Score History

Reconstructed from 11 incidents with score impact

Strong impact Light impact No change

Is Electrum trustworthy?

Electrum has a trust score of 4/10; there are currently 7 unresolved incidents on record (see details above) – worth a look before you use it. This assessment is based on our trust score system and the incidents documented above – it does not replace doing your own research.

Description

Electrum is one of the oldest and most widely used Bitcoin wallets, known for high speed thanks to SPV technology (no need to download the entire blockchain). The wallet is open source, supports hardware wallets and multisig, and is valued by many experienced Bitcoin users as a reference client.

12.10.2026 – Vorfall ergänzt: Autorisierungs-Bypass im externen Plugin-System ermöglicht Codeausführung (GHSA-vw94-r84p-66qf)

12.10.2026 – Vorfall ergänzt: Preimage-Validierung bei Lightning-Zahlungen auf Android übersprungen (GHSA-9gpc-prj9-89x7)

12.10.2026 – Vorfall ergänzt: BIP70-Zahlungsanfragen erlauben file://-URIs (GHSA-4fh4-hx35-r355)

12.10.2026 – Vorfall ergänzt: Fehlende Autorisierung in der JSON-RPC-Schnittstelle (CVE-2018-1000022)

12.10.2026 – Vorfall ergänzt: Python-Konsole erlaubt Codeausführung durch Social Engineering (CVE-2018-6353)

23.09.2026 – Vorfall ergänzt: Umgehung der Plugin-Signaturprüfung ermöglichte Codeausführung

23.09.2026 – Vorfall ergänzt: Android-Version: Deaktivierte Preimage-Prüfung erlaubte Lightning-Diebstahl

23.09.2026 – Vorfall ergänzt: Lightning-Bug erlaubte Diebstahl über Multi-Part-Payments

23.09.2026 – Vorfall ergänzt: CVE-2018-6353: Codeausführung über integrierte Python-Konsole

23.09.2026 – Vorfall ergänzt: CVE-2018-1000022: Fehlende Autorisierung in JSONRPC-Schnittstelle

23.09.2026 – Vorfall ergänzt: Phishing-Angriff über gefälschte Electrum-Server (Fake-Update)

Update Feed

Loading latest entries...

Favorite View as forum thread

Overall score: 60% Privacy + 40% Trust

Score Calculation

▾

Base50

Garantiert kein KYC+25

Non-Custodial+3

Privacy Score78 / 100

Confirmed Attributes · 11

▾

Garantiert kein KYC

Die Nutzungsbedingungen schließen eine KYC-Anfrage explizit aus.

+25

Non-Custodial

Nutzer behalten jederzeit die volle Kontrolle über die eigenen Coins/Daten.

Quelloffen

Der Quellcode ist öffentlich einsehbar und überprüfbar.

Von uns geprüft

Der Eintrag wurde von einem Admin manuell verifiziert.

Atomic Swaps

Ermöglicht direkten Coin-Tausch zwischen zwei Parteien ohne Zwischenhändler.

Strikte No-Logs-Politik

Der Dienst speichert laut eigenen Angaben keine Nutzungsdaten.

Peer-to-Peer-Netzwerk

Läuft über ein dezentrales Netzwerk statt zentraler Server.

Akzeptiert Monero

Unterstützt Zahlungen mit der auf Privatsphäre fokussierten Kryptowährung Monero.

Tor-/I2P-Adresse verfügbar

Eine Onion- oder I2P-Adresse erhöht die Zugriffs-Privatsphäre zusätzlich.

Keine Registrierung nötig

Der Dienst kann ohne Account-Erstellung genutzt werden.

Lightning-Unterstützung

Unterstützt schnelle, günstige Zahlungen über das Lightning-Netzwerk.

P = contribution to the Privacy Score. Factors rejected by a majority of at least 3 users are no longer included in the total. The final scores above are additionally reviewed editorially.