A Electrum, uma das carteiras de Bitcoin mais antigas e ainda amplamente utilizada na Europa, lançou a versão 4.8.3 a 24 de outubro de 2026, para corrigir uma falha de segurança de alta gravidade que podia permitir a um servidor malicioso redirecionar os fundos de um utilizador através de um truque de substituição de transação.

O projeto divulgou a atualização na sua conta oficial, escrevendo: "New release: Electrum 4.8.3. This release fixes a critical security issue, so we urge all users to upgrade. A description of the vulnerability will be published later today." A equipa acrescentou uma nota referindo que o Windows Defender poderia assinalar um ficheiro chamado ZXing.dll durante a instalação, descrevendo-o como "um falso positivo".

A vulnerabilidade, catalogada como GHSA-6jp4-8v48-cc5v, afeta todas as versões 4.8.2 e anteriores. De acordo com as notas de lançamento, trata-se de uma situação "(de alta gravidade) em que um servidor malicioso pode substituir uma transação recentemente difundida e tentar induzir o utilizador a aceitá-la através de RBF" — uma referência ao Replace-By-Fee, a funcionalidade do Bitcoin que permite reenviar uma transação não confirmada com uma taxa mais elevada.

Como funciona o ataque

Duas condições têm de se verificar para que o ataque seja bem-sucedido: a carteira da vítima tem de estar ligada a um servidor Electrum malicioso e a vítima tem depois de optar por acelerar a transação pendente através de RBF. Os utilizadores que gerem o seu próprio servidor Electrum não estão expostos a este vetor de ataque, uma vez que a dependência de um servidor malicioso deixa de existir.

Este é o segundo lançamento da Electrum focado em segurança em pouco mais de dois meses. O patch anterior, a versão 4.8.1, surgiu a 12 de agosto. O projeto tem um longo historial de ser alvo de ataques através da sua infraestrutura de servidores, e esta última falha segue o mesmo padrão: um servidor hostil a tentar manipular aquilo que o cliente mostra e assina.

Um falso alarme no Windows Defender e um incidente paralelo

Juntamente com a correção, a atualização introduziu "leitura de códigos de barras com QtMultimedia e reconhecimento de QR code a partir de zxing-cpp" através do pull request #10955 no GitHub, o que trouxe o ficheiro ZXing.dll para as instalações em Windows. O ficheiro, datado de 11/11/2000 e localizado na diretoria _internal, despoletou avisos de alguns antivírus. Uma análise feita com o Windows Defender versão 1.461.181.0, datada de 24/10/2026, não detetou qualquer ameaça, o que é consistente com a descrição do projeto de um falso positivo.

No mesmo dia em que a Electrum divulgou a correção, foi reportada uma vulnerabilidade semelhante na Cake Wallet, outra carteira open-source amplamente utilizada para Bitcoin e Monero, sugerindo que a fragilidade subjacente na gestão da substituição de transações via RBF não se limita a um único software.

Para os utilizadores europeus, muitos dos quais recorrem à Electrum como uma opção leve e de autocustódia precisamente por evitar a sobrecarga de correr um nó completo, este aviso é um lembrete de que a confiança no servidor continua a ser um ponto fraco estrutural das carteiras do tipo SPV. Atualizar para a versão 4.8.3 encerra a falha imediata; correr um servidor Electrum pessoal elimina por completo essa dependência.