Electrum ha publicado la versión 4.8.3, que corrige una vulnerabilidad que permitía a servidores maliciosos engañar a los usuarios para que firmaran transacciones de bitcoin que enviaban sus fondos a direcciones controladas por el atacante. La corrección, publicada el 24 de octubre de 2026, soluciona un problema presente en todas las versiones anteriores del monedero.

El fallo se centraba en cómo gestiona Electrum el aumento de comisiones mediante Replace-By-Fee (RBF). Un servidor malicioso podía ocultar el pago original del usuario y sustituirlo por una transacción en conflicto que apuntaba a una dirección bajo el control del atacante. Si el usuario intentaba entonces subir la comisión de lo que creía que era su pago original, el monedero terminaba firmando la transacción alterada, enviando los fondos al atacante.

Los desarrolladores explicaron que recibieron dos informes de usuarios afectados por el ataque, uno de los cuales perdió dinero tras subir la comisión de una transacción. En ambos casos, la dirección del atacante coincidía con los últimos cuatro caracteres de la dirección que el usuario pretendía pagar, un detalle que dificultaba detectar la sustitución en una revisión superficial.

La versión 4.8.3 cierra esta brecha verificando las firmas antes de aceptar una transacción no confirmada en el historial local, para las entradas que gastan monedas propiedad del monedero. "Esta versión corrige un problema de seguridad crítico, por lo que recomendamos a todos los usuarios que actualicen", señaló Electrum.

Electrum indicó que los clientes conectados a servidores de confianza, incluidos los autoalojados, no se ven afectados por este ataque. Para los usuarios que aún no hayan actualizado, los desarrolladores recomiendan comprobar manualmente las direcciones de destino y los importes antes de firmar cualquier transacción, incluidos los aumentos de comisión, y descargar el software únicamente desde electrum.org, verificando las firmas GPG.

Bull Bitcoin asegura que los usuarios por defecto no están afectados

Bull Bitcoin, cuyo monedero BULL está construido sobre el código base de Electrum, afirmó que su configuración por defecto protege a la mayoría de los usuarios del ataque. El monedero se conecta por defecto únicamente a dos servidores gestionados por Bull Bitcoin y uno gestionado por Blockstream, por lo que los usuarios no estarían expuestos a menos que hubieran elegido manualmente un servidor comprometido añadiendo su dirección por su cuenta.

El consejero delegado de Bull Bitcoin, Francis Pouliot, declaró que la compañía está adoptando de todos modos la misma protección que Electrum acaba de incorporar. "En cualquier caso, estamos añadiendo de inmediato una validación en el lado del cliente con el mismo enfoque que el monedero Electrum", afirmó.

El episodio es un recordatorio para los poseedores europeos de bitcoin que utilizan Electrum o monederos basados en Electrum de que la confianza en el servidor sigue siendo una parte relevante del modelo de seguridad, en particular para los usuarios que se conectan a servidores de terceros o añadidos manualmente en lugar de a la infraestructura por defecto o autoalojada.